LinuxForum.Fans
Тема

Ограничить доступ к сайтам на отдельно стоящей машине

Автор: garmahis 9 сообщений 4349 просмотров
28.11.2011 21:18 #208918

Добрый день. Есть отдельно стоящая (без присмотра) машина с линуксом. Интернет через адсл-модем. На модеме никакую фильтрацию по url-ам сотворить нельзя. Необходимо , чтобы пользователи имели доступ только к определенным сайтам.
Первое, что приходит на ум : поставить локальный прокси. Т.к. пользователь может в браузере отключить прокси, то нужно всё что уходит на 80 порт заворачивать на squid. Но как заворачивать ??
Ведь пакеты формируются локально и правило :

text

iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to-ports 3128

не канает :(

Есть l7-filter но, видно руки не оттуда .... не смог настроить ...

Вопрос : если использовать сквид, то как на него заворачивать пакеты генерируемые на этой же машине?
может есть другие решения ?
Спасибо.

28.11.2011 23:09 #208954

newzenon
Спасибо! Ссылку про блокировку вконтакте видел, но у меня обратная задача : пропустить то, что в белом списке, всё остальное - заблокировать.
Просто перечислить ip-адреса разрешённых ресурсов в правилах фаервола- не выход т.к. ip-адреса ресурсов часто меняются ....

28.11.2011 23:30 #208959

Ну тогда как-то так:

text
WL="ya.ru mail.ru google.com gmail.com"
for i in $WL; do
iptables -A INPUT -s $i -p tcp -m multiport --sports 80,443 -j ACCEPT
done
iptables -P INPUT DROP

Запускать в кроне раз в сутки, потому как происходит преобразование dns -> ip.

28.11.2011 23:34 · отредактировано #208960

ы. Соответственно меняй цепочку INPUT на FORWARD для шлюза.
Еще такой вот подход:

text
iptables -A INPUT ! -d ya.ru -p tcp -m tcp --dport http -j DROP
29.11.2011 20:42 #209178

Спасибо. Попробую...

29.11.2011 21:04 #209186

НУ думою можно ставить решено?

29.11.2011 21:23 #209194

если использовать данный скрипт то люди получат доступ и прочим сайтам
лучше настроить сквид

пробуйте так

iptables -t nat -I OUTPUT -p tcp --dport 80 -j REDIRECT --to-ports 3128

либо

iptables -t nat -I OUTPUT -p tcp --sport 80 -j REDIRECT --to-ports 3128

27.12.2011 19:52 · отредактировано #217138

"Белый список" можно настроить средствами самой SQUID.

Я написал небольшой скрипт, который заменяет в вашей системе несколько файлов:

  • [*]/etc/script.conf
  • /usr/share/squid/errors/Russian-1251/ERR_ACCESS_DENIED
  • [*]и добавляет 2 новых файла:
  • /etc/squid/white
  • /etc/squid/stop.jpg

Достаточно двойного щелчка мышью, и у вас на машине "белый список".

Хотелось бы знать как его здесь выложить, чтоб новички могли пользоваться, а профи - улучшить.
_______________________________________________________
Работает на Debian-линуксах, в том числе популярном Ubuntu.

Войдите или зарегистрируйтесь, чтобы ответить.