iptables 主机名规则是 DNS 快照
了解为何 iptables 主机名例外在 DNS 变更后可能不再匹配某个站点，以及正向代理的域名策略在何处不同。
iptables 命令里的主机名会在规则提交之前被解析。内核规则匹配的是解析出来的地址；它不会为每个数据包重复 DNS，也不检查 HTTP 主机名。
当某条例外不再生效时，请把数字形式的规则和计数器与客户端实际使用的地址作比较。DNS 变更、解析器给出不同答案，以及额外的资源主机，都可能让那个地址落到旧规则之外。反向的风险是与无关服务共用的地址：一条 IP 例外也可能把这些服务一并包含进来。
顺序要单独检查。放在已经匹配的拦截动作之后的绕行可能太晚，但把它前移并不会维护它的地址集合。
| 需要的例外 | 需要的策略 |
|---|---|
| 不要拦截发往这些网络目的地的连接 | 配有合适地址维护策略的数据包路由规则 |
| 允许该客户端通过 Squid 请求这些名字 | 请求层面的目标域名 ACL，再加上客户端与端口限制 |
Squid 里的放行会让请求留在代理内部。防火墙层面的绕行则把它从 Squid 的授权路径上剥离。要在两者之间有意地作出选择。使用普通 CONNECT 时，即便代理会参考主机名，它也不会暴露加密站点的路径，因此单靠它并不能成为页面路径上的例外。