- Linux
- Administrarea sistemului
- iptables
La locul de muncă, am primit sarcina de a bloca unele site-uri Vk, fb, youtube, etc. și să fiu sincer, m-am gândit că aceste sarcini ar putea face față cu ușurință iptables, dar din moment ce eu lucrez un pic într-o zonă diferită de administrarea rețelei întâlnesc foarte puțin.
Ce este în prezent
Serverul Ubuntu 12.04
eth0 - interfață externă
inet addr: 94.159.48.42
eth1 - interfața internă
inet addr: 192.168.0.250
În mijlocul tuning-ului este configurat să ignore intea și încă câteva porturi + un firewall mic.
Ce am încercat:
bloc
#iptables -A FORWARD -m string -string "vk.com" --algo kmp --to 65535 -j DROP
Deblocați pentru Mac
#iptables -A FORWARD -m mac --mac-source B8: 8d: 12: 0f: 32: 90 string -m --string "vk.com" --algo KMP --to 65535 -j ACCEPT
Totul e bine, dar! Dacă deschideți un site pe care widgetul de contact închide - va fi prost sau poate să nu se deschidă.
Dacă ocoliți DNS și bateți cache-ul DNS, atunci există acces.
Pentru a rezolva problema, blocăm piscina ip vk
#iptables -A FORWARD -s 95.142.200.0/21 -j DROP
.
așa că este deblocat pentru mac
#iptables -A FORWARD -m mac --mac-source B8: 8d: 12: 0f: 32: 90 -s 95.142.200.0/21 -j ACCEPT
.
Dacă faci aceleași trucuri cu tine, atunci se comportă în general este foarte ciudat :)
Cel mai important dezavantaj al acestei abordări este faptul că site-urile terță parte cu widget-uri de site-uri blocate sunt proaste.
Mi-am împușcat regulile iptables pentru a treia zi, dar nu reușesc să fac asta:
- Blocați mai multe site-uri (de preferință pe domenii) pentru cea mai mare parte a mașinilor din rețea.
- Pentru a organiza accesul la aceste site-uri pentru unele mașini de către mac.
- Nu întrerupeți funcționarea site-urilor terțe.
Disperat, mă uit deja la calmarul din Soron, dar am dedus că și acolo totul nu este atât de neted.
Pentru a fi sincer, cred că poate fi rezolvată dejivrare Ala toate cererile de domenii înfășurate în același server, și apoi a da o foaie 404 sau un martor, dar această parte a iptables, eu nu foarte familiar -, astfel încât nu a putut în mod corespunzător regula stostavit.
Eu intreb comunitatea de ajutor! Vă mulțumesc tuturor pentru atenția acordată și pentru răspunsurile dvs.!
Articole similare
Trimiteți-le prietenilor: