Подскажите как лучше всего блокировать социальный сети (https трафик vk.com к примеру)? Использовал классическую схему squid+squidGuard но он не блокирует https трафик.
LinuxForum.Fans
Блокировка https сайтов по времени
Автор: semperN
25 сообщений
4434 просмотров
[quote="elektryk"]
чтобы не создавать длинную портянку ил поддоменов этих неугодных в правилах iptables?
В принципе есть расширения ipset для iptables.
есть-ли возможность заблокировать стандартными средствами iptables домен типа *.akamaitechnologies.com,
text
iptables -I FORWARD -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP
Если какие-то поддомены нужно разрешить, то выше создавайте правила для разрешения, т.е. с ACCEPT.
Так же приведённое правило работает только для транзитных пакетов, т.е. пакетов от ПК, для которых указанный ПК является шлюзом и обратно, для блокировки исходящих запросов на указанные поддомены с этого ПК (шлюза) правило нужно добавлять в цепочку OUTPUT:
text
iptables -I OUTPUT -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP
и INPUT для входящих пакетов.
За подробностями по прохождению пакетов и вообще работе IPTABLES почитайте вот это: http://www.opennet.ru/docs/RUS/iptables/[/quote]
А это не канает?
Я нашел только что вот такое решение http://demon.of.by/blog/linux-admin/how-to-block-social-networks-via-https-using-iptables/
Немного подправил но оно у меня почему то не завелось, все равно пускает в vk.com. В iptables я не так силен, может кто подскажет в чем проблема
iptables -L выглядит так.
text
iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
ACCEPT tcp -- anywhere anywhere tcp dpt:imap state NEW
ACCEPT tcp -- anywhere anywhere tcp dpt:smtp state NEW
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
DROP all -- anywhere anywhere state INVALID
DROP tcp -- anywhere anywhere tcp flags:!FIN,SYN,RST,ACK/SYN state NEW
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:https
ACCEPT tcp -- anywhere anywhere tcp dpt:55999
ACCEPT tcp -- 172.20.46.0/24 anywhere tcp dpt:squid
ACCEPT tcp -- !172.20.46.0/24 anywhere tcp spt:http ctstate RELATED,ESTABLISHED
ACCEPT tcp -- anywhere anywhere tcp dpt:http
ACCEPT tcp -- anywhere anywhere tcp dpt:openvpn
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:ssh
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ms-wbt-server
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:openvpn
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
Chain FORWARD (policy DROP)
target prot opt source destination
ACCEPT udp -- anywhere anywhere udp dpt:55999
ACCEPT tcp -- anywhere anywhere tcp dpt:55999
ACCEPT udp -- anywhere anywhere udp spt:55999
ACCEPT tcp -- anywhere anywhere tcp spt:55999
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
ACCEPT all -- anywhere anywhere state NEW,RELATED,ESTABLISHED
DROP all -- anywhere anywhere state INVALID
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:ndmp
ACCEPT tcp -- anywhere anywhere tcp dpt:scp-config
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:documentum
ACCEPT tcp -- anywhere anywhere tcp dpt:documentum_s
ACCEPT tcp -- anywhere anywhere tcp dpt:smtp
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere zimbra.nowmc.ru tcp dpt:imap
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN tcpmss match 0:65535 TCPMSS clamp to PMTU
SOCIAL all -- anywhere dr04.lla1.tfbnw.net/22
SOCIAL all -- anywhere 69.63.176.0/20
SOCIAL all -- anywhere 66.220.144.0/20
SOCIAL all -- anywhere 66.220.144.0/21
SOCIAL all -- anywhere 69.63.184.0/21
SOCIAL all -- anywhere 69.63.176.0/21
SOCIAL all -- anywhere ae1.pr01.ams3.tfbnw.net/22
SOCIAL all -- anywhere 69.171.255.0/24
SOCIAL all -- anywhere 173.252.64.0/18
SOCIAL all -- anywhere 69.171.224.0/19
SOCIAL all -- anywhere 69.171.224.0/20
SOCIAL all -- anywhere ae5.br01.vie1.tfbnw.net/22
SOCIAL all -- anywhere 69.63.176.0/24
SOCIAL all -- anywhere 173.252.64.0/19
SOCIAL all -- anywhere 173.252.70.0/24
SOCIAL all -- anywhere 31.13.64.0/18
SOCIAL all -- anywhere 31.13.24.0/21
SOCIAL all -- anywhere 66.220.152.0/21
SOCIAL all -- anywhere 66.220.159.0/24
SOCIAL all -- anywhere 69.171.239.0/24
SOCIAL all -- anywhere 69.171.240.0/20
SOCIAL all -- anywhere 31.13.64.0/19
SOCIAL all -- anywhere 31.13.64.0/24
SOCIAL all -- anywhere 31.13.65.0/24
SOCIAL all -- anywhere 31.13.67.0/24
SOCIAL all -- anywhere 31.13.68.0/24
SOCIAL all -- anywhere 31.13.69.0/24
SOCIAL all -- anywhere 31.13.70.0/24
SOCIAL all -- anywhere 31.13.71.0/24
SOCIAL all -- anywhere 31.13.72.0/24
SOCIAL all -- anywhere 31.13.73.0/24
SOCIAL all -- anywhere 31.13.74.0/24
SOCIAL all -- anywhere 31.13.75.0/24
SOCIAL all -- anywhere 31.13.76.0/24
SOCIAL all -- anywhere 31.13.77.0/24
SOCIAL all -- anywhere 31.13.96.0/19
SOCIAL all -- anywhere 31.13.66.0/24
SOCIAL all -- anywhere 173.252.96.0/19
SOCIAL all -- anywhere 69.63.178.0/24
SOCIAL all -- anywhere 31.13.78.0/24
SOCIAL all -- anywhere 31.13.79.0/24
SOCIAL all -- anywhere 31.13.80.0/24
SOCIAL all -- anywhere 31.13.82.0/24
SOCIAL all -- anywhere 31.13.83.0/24
SOCIAL all -- anywhere 31.13.84.0/24
SOCIAL all -- anywhere 31.13.85.0/24
SOCIAL all -- anywhere 31.13.86.0/24
SOCIAL all -- anywhere 31.13.87.0/24
SOCIAL all -- anywhere 31.13.88.0/24
SOCIAL all -- anywhere 31.13.89.0/24
SOCIAL all -- anywhere 31.13.90.0/24
SOCIAL all -- anywhere 31.13.91.0/24
SOCIAL all -- anywhere 31.13.92.0/24
SOCIAL all -- anywhere 31.13.93.0/24
SOCIAL all -- anywhere 31.13.94.0/24
SOCIAL all -- anywhere 31.13.95.0/24
SOCIAL all -- anywhere 69.171.253.0/24
SOCIAL all -- anywhere 69.63.186.0/24
SOCIAL all -- anywhere 31.13.81.0/24
SOCIAL all -- anywhere 179.60.192.0/22
SOCIAL all -- anywhere 179.60.192.0/24
SOCIAL all -- anywhere 179.60.193.0/24
SOCIAL all -- anywhere 179.60.194.0/24
SOCIAL all -- anywhere 179.60.195.0/24
SOCIAL all -- anywhere 185.60.216.0/22
SOCIAL all -- anywhere 45.64.40.0/22
SOCIAL all -- anywhere dr04.lla1.tfbnw.net/22
SOCIAL all -- anywhere 69.63.176.0/20
SOCIAL all -- anywhere 69.63.176.0/21
SOCIAL all -- anywhere 69.63.184.0/21
SOCIAL all -- anywhere 66.220.144.0/20
SOCIAL all -- anywhere 69.63.176.0/20
SOCIAL all -- anywhere srv0-224-186-93.vk.com/21
SOCIAL all -- anywhere srv0-232-186-93.vk.com/21
SOCIAL all -- anywhere srv0-128-240-87.vk.com/18
SOCIAL all -- anywhere srv0-192.vkontakte.ru/21
SOCIAL all -- anywhere 95.213.0.0/18
SOCIAL all -- anywhere 185.32.248.0/22
SOCIAL all -- anywhere srv0-200.vkontakte.ru/21
SOCIAL all -- anywhere srv0-192.vkontakte.ru/20
SOCIAL all -- anywhere 217.20.144.0/20
SOCIAL all -- anywhere 185.16.244.0/23
SOCIAL all -- anywhere 185.16.246.0/24
SOCIAL all -- anywhere 185.16.247.0/24
SOCIAL all -- anywhere 5.61.16.0/21
Chain OUTPUT (policy DROP)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state NEW,RELATED,ESTABLISHED
DROP tcp -- anywhere anywhere tcp flags:!FIN,SYN,RST,ACK/SYN state NEW
ACCEPT tcp -- anywhere 172.20.46.0/24 tcp spt:squid ctstate RELATED,ESTABLISHED
ACCEPT tcp -- anywhere !172.20.46.0/24 tcp dpt:http
ACCEPT tcp -- anywhere anywhere tcp spt:openvpn
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:http
ACCEPT tcp -- anywhere anywhere tcp dpt:http
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
Chain SOCIAL (85 references)
target prot opt source destination
ACCEPT all -- otdel-it.ngdbnet.local anywhere
DROP all -- anywhere anywhere
Покажите лучше сами правила
У вас проблема в том что squid не настроен на https трафик. Просто настройте)
У вас проблема в том что squid не настроен на https трафик. Просто настройте)
Как в прозрачном режиме? И чтоб на сертификаты не ругался?
Как в прозрачном режиме? И чтоб на сертификаты не ругался?
squid в прозрачном режиме более не рекомендуется использовать.
Посмотрите правила iptables выше.
Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.
Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.
И не сможете =)
[quote="Kettler"]Как в прозрачном режиме? И чтоб на сертификаты не ругался?
squid в прозрачном режиме более не рекомендуется использовать.
Посмотрите правила iptables выше.[/quote]
И что вы нашли в этих правилах?
squid в прозрачном режиме более не рекомендуется использовать.
а вот с этого момента можно поподробней *SCRATCH*
И что вы нашли в этих правилах?
Почитайте их, если вам непонятно.
[quote="Kettler"]И что вы нашли в этих правилах?
Почитайте их, если вам непонятно.[/quote]
До сих пор не вижу нечего критичного
вот так выглядит файл iptables
text
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*mangle
:PREROUTING ACCEPT [123422:135725787]
:INPUT ACCEPT [95728:109838324]
:FORWARD ACCEPT [27634:25849309]
:OUTPUT ACCEPT [119938:62755031]
:POSTROUTING ACCEPT [146911:88574977]
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*filter
:INPUT DROP [27:2310]
:FORWARD DROP [0:0]
:OUTPUT DROP [15:600]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i tun5 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT
-A INPUT -i tun1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 66.220.144.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 74.119.76.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.255.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 173.252.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.224.0/19 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.224.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 103.4.96.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 173.252.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 173.252.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.24.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 66.220.152.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 66.220.159.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.239.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.240.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.64.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.65.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.67.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.68.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.69.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.71.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.72.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.73.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.74.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.75.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.76.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.77.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.66.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 173.252.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.178.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.78.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.79.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.80.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.82.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.83.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.84.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.85.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.86.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.87.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.88.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.89.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.90.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.91.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.92.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.93.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.94.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.95.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.171.253.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.186.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 179.60.192.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 179.60.192.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 179.60.193.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 179.60.194.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 179.60.195.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 185.60.216.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 45.64.40.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A INPUT -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*nat
:PREROUTING ACCEPT [926:172343]
:POSTROUTING ACCEPT [188:24907]
:OUTPUT ACCEPT [198:25739]
-A PREROUTING -s 172.20.46.0/24 ! -d 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.121:3389
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.121:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.37:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.35:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10005 -j DNAT --to-destination 172.20.46.131:3389
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 143 -j DNAT --to-destination 172.20.46.241:143
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 172.20.46.241:25
-A POSTROUTING -s 172.20.46.0/24 -o ppp0 -j MASQUERADE
-A POSTROUTING -s 192.168.168.0/24 -o ppp0 -j MASQUERADE
-A POSTROUTING -s 192.168.168.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 172.20.45.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 172.20.46.0/24 -o eth0 -j MASQUERADE
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
но vk.com не как не блокируется
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
— стой, ты куда?!
— я на https!
— проходи!
—Стоять, если ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты меня сам пропустил. Давай, досвидания.
Hint: разрешения на 443 нужно прописывать ПОСЛЕ запрещения фконтакте.
-A означает "добавить ещё правило ПОСЛЕ предыдущих".
[quote="semperN"]-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
— стой, ты куда?!
— я на https!
— проходи!
—Стоять, если ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты меня сам пропустил. Давай, досвидания.
Hint: разрешения на 443 нужно прописывать ПОСЛЕ запрещения фконтакте.
-A означает "добавить ещё правило ПОСЛЕ предыдущих".[/quote]
возможно нужно указывать FORWARD а не INPUT?
Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.
нужно использовать не самомподписанный сертификат а поратить 3 бакса в год на норм сертификат.
А через IPTABLES проще блокировать по принципу который рассматривался относительно недавно на форуме - http://linuxforum.ru/viewtopic.php?id=36677
а поратить 3 бакса в год на норм сертификат
ссыль на регистрацию сертификата за такую сумму пожалуйста в студию
Убрал facebook и заменил INPUT на FORWARD но все равно пускает в vk.com
text
*filter
:INPUT DROP [7:645]
:FORWARD DROP [0:0]
:OUTPUT DROP [3:120]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i tun5 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT
-A INPUT -i tun1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP
COMMITпри этом нужно еще оставить белый список адресов которым можно ходить в vk.com
ссыль на регистрацию сертификата за такую сумму пожалуйста в студию
для меня сертификаты по себестоимости - могу и вам если так нужно подогнать, правда сейчас за год уже 4 бакса сделали, но на 5 лет за 15 (считайте что по 3 бакса).
В скоре планирую доделать полноценный ресурс по продаже хостинга, доменов, сертификатов... рыночная цена посмотрел в среднем от 10$ - это тоже достаточно не большие деньги.
Кого заинтересовало - пишем в ЛС. Подгоню дешево, так сказать по-форумчански)
Войдите или зарегистрируйтесь, чтобы ответить.
