Linux Forum — Блокируем неугодный трафик средствами iptables по именам доменов

Re: Блокируем неугодный трафик средствами iptables по именам доменов

null@example.com (elektryk) — Tue, 11 Nov 2014 06:07:29 +0000

супер, спасибо, это то, что нужно было!!!

Re: Блокируем неугодный трафик средствами iptables по именам доменов

null@example.com (kostik87) — Mon, 10 Nov 2014 19:19:09 +0000

elektryk пишет:

чтобы не создавать длинную портянку ил поддоменов этих неугодных в правилах iptables?

В принципе есть расширения ipset для iptables.

есть-ли возможность заблокировать стандартными средствами iptables домен типа *.akamaitechnologies.com,

iptables -I FORWARD -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP

Если какие-то поддомены нужно разрешить, то выше создавайте правила для разрешения, т.е. с ACCEPT.

Так же приведённое правило работает только для транзитных пакетов, т.е. пакетов от ПК, для которых указанный ПК является шлюзом и обратно, для блокировки исходящих запросов на указанные поддомены с этого ПК (шлюза) правило нужно добавлять в цепочку OUTPUT:

iptables -I OUTPUT -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP

и INPUT для входящих пакетов.

За подробностями по прохождению пакетов и вообще работе IPTABLES почитайте вот это: http://www.opennet.ru/docs/RUS/iptables/

Блокируем неугодный трафик средствами iptables по именам доменов

null@example.com (elektryk) — Mon, 10 Nov 2014 13:44:06 +0000

Добрый день.
Задача появилась следующая:
вывод iftop показал приличный трафик с мобильных устройств подключенных через WiFi на такие хитрые домены -
.amazonaws.com
.akamaitechnologies.com
reverse.softlayer.com
вся засада в том, что при создании правил в iptables типа:
iptables -A OUTPUT -p tcp -d akamaitechnologies.com -j DROP
выдаёт ошибку определения домена
iptables v1.4.4: host/network `akamaitechnologies.com' not found
что, в принципе, правильно, так как это основное имя, а вот поддоменов там немерянное количество, как быть?
есть-ли возможность заблокировать стандартными средствами iptables домен типа *.akamaitechnologies.com, чтобы не создавать длинную портянку ил поддоменов этих неугодных в правилах iptables?
Спасибо.