Mạng của tôi hoàn toàn bị khóa ngoại trừ một vài trang web được đưa vào danh sách trắng. Tất cả điều này được thực hiện thông qua iptables, trông giống như thế này:
# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 1.2.3.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 11.12.13.0/24 -j ACCEPT
iptables -A zone_lan_forward -p tcp -d 101.102.103.0/24 -j ACCEPT
iptables -A zone_lan_forward -p udp -d 101.102.103.0/24 -j ACCEPT
...
Rõ ràng những địa chỉ đó là giả thuyết, nhưng bạn có ý tưởng. Tường lửa của tôi đang trở nên to lớn. Sẽ dễ dàng hơn nhiều để duy trì nếu tôi có thể làm điều này:
# Allow traffic to google.com
iptables -A zone_lan_forward -p tcp -d google.com -j ACCEPT
iptables -A zone_lan_forward -p udp -d google.com -j ACCEPT
Tôi tin rằng điều này là có thể, vì man iptablesnói:
Địa chỉ có thể là tên mạng, tên máy chủ (xin lưu ý rằng việc chỉ định bất kỳ tên nào được giải quyết bằng truy vấn từ xa như DNS là một ý tưởng thực sự tồi tệ), địa chỉ IP mạng (có / mặt nạ) hoặc địa chỉ IP đơn giản.
Nhưng điều tôi quan tâm là phần "chỉ định bất kỳ tên nào sẽ được giải quyết bằng ... DNS là một ý tưởng thực sự tồi tệ". Tại sao đây là một ý tưởng tồi? Nó chỉ làm chậm mọi thứ?
Nếu tôi thực sự không nên sử dụng tên máy chủ trong quy tắc iptables, vậy tôi nên làm gì để đơn giản hóa tường lửa của mình?