LINUX.ORG.RU

Избранные сообщения wmlex

заблокировать vk.com через iptables

Форум — Admin

Здравствуйте! Достался мне небольшой старенький сервак, который работает шлюзом в небольшую локальную сеть. Пару лет назад, когда социальные сети еще только набирали популярность (в частности, Вконтакте) каким-то админом был настроен iptables на этой шлюзе, и для блокировки Вконтакте он использовал небольшой список из IP-адресов.

##vk.com##
$IPT -A FORWARD -s 87.240.131.97 -j DROP
$IPT -A FORWARD -s 87.240.131.98 -j DROP
$IPT -A FORWARD -s 87.240.131.99 -j DROP
$IPT -A FORWARD -s 87.240.131.100 -j DROP
$IPT -A FORWARD -s 87.240.131.101 -j DROP
$IPT -A FORWARD -s 87.240.131.102 -j DROP
$IPT -A FORWARD -s 87.240.131.103 -j DROP
$IPT -A FORWARD -s 87.240.131.249 -j DROP
$IPT -A FORWARD -s 87.240.188.248 -j DROP
$IPT -A FORWARD -s 87.240.188.249 -j DROP
$IPT -A FORWARD -s 87.240.188.250 -j DROP
$IPT -A FORWARD -s 87.240.188.251 -j DROP
$IPT -A FORWARD -s 87.240.188.252 -j DROP
$IPT -A FORWARD -s 87.240.188.253 -j DROP
$IPT -A FORWARD -s 87.240.188.254 -j DROP
$IPT -A FORWARD -s 93.186.224.240 -j DROP
$IPT -A FORWARD -s 93.186.224.241 -j DROP
$IPT -A FORWARD -s 93.186.224.242 -j DROP
$IPT -A FORWARD -s 93.186.224.243 -j DROP
$IPT -A FORWARD -s 93.186.224.244 -j DROP
$IPT -A FORWARD -s 93.186.224.247 -j DROP

Сейчас же серверов намного больше и блокировать их по IP сложно. Я еще только начинаю знакомство с iptables, прочитав их мануал нигде не встретил команды для блокировки именно URLa, а не IP.

Подскажите, если я добавлю в iptable вот такую команду, то перестанет работать Вконтакте или нет? 

$IPT -A INPUT -s vk.com -j DROP
$IPT -A OUTPUT -d vk.com -j DROP

Я думаю что не сработает, потому что происходит фильтрация пакетов, а в пакете указывается IP-адрес отправителя/получателя, а не URL.

Если не будет работать, подскажите, пожалуйста, как заблокировать. Спасибо!

 ,

Weman
()
58 комментариев (стр. 2)

Заблокировать vk/vkontakte (по ssl) через iptables

Форум — Admin

Здравствуйте. Хочу зарезать контакт по https через iptables, чтобы юзеры туда не лазали в обход сквиду. (В сквиде пока нету времени настраивать проксирование ssl)

добавляю следующие правила: 

iptables -t filter -I INPUT -s vk.com -p tcp -m tcp --sport 443 -j DROP
iptables -t filter -I OUTPUT -d vk.com -p tcp -m tcp --dport 443 -j DROP
Умный iptables ресолвит домен в адреса и создает по правилу для каждого ip vk.com

получается следующее: 

...
-A INPUT -s 87.240.131.118/32 -p tcp -m tcp --sport 443 -j DROP
-A INPUT -s 87.240.131.102/32 -p tcp -m tcp --sport 443 -j DROP
-A INPUT -s 87.240.131.98/32 -p tcp -m tcp --sport 443 -j DROP
-A INPUT -s 87.240.143.246/32 -p tcp -m tcp --sport 443 -j DROP
-A INPUT -s 87.240.143.242/32 -p tcp -m tcp --sport 443 -j DROP
...
-A OUTPUT -d 87.240.143.248/32 -p tcp -m tcp --dport 443 -j DROP
-A OUTPUT -d 87.240.143.244/32 -p tcp -m tcp --dport 443 -j DROP
-A OUTPUT -d 87.240.131.120/32 -p tcp -m tcp --dport 443 -j DROP
-A OUTPUT -d 87.240.131.104/32 -p tcp -m tcp --dport 443 -j DROP
-A OUTPUT -d 87.240.131.100/32 -p tcp -m tcp --dport 443 -j DROP
...

при этом, когда я лезу на https://vk.com или https://87.240..., я туда успешно попадаю т.е. правила не отрабатывают.

Подскажите пожалуйста, где я ошибся.

Born_2_Rock
()
14 комментариев