Linux Forum — Блокировка https сайтов по времени

Re: Блокировка https сайтов по времени

2014-11-15T05:38:19Z

drBatty пишет:

kostik87 пишет:
Будет одно правило.
внимательно приглядитесь к самим IP, они тоже бессмысленные.
kostik87 пишет:
В общем, IPTABLES обрабатывает правила сверзу вниз
это с -A, а вот с -I наоборот.

Дьявол в мелочах.

Re: Блокировка https сайтов по времени

2014-11-15T02:42:59Z

kostik87 пишет:

Будет одно правило.

внимательно приглядитесь к самим IP, они тоже бессмысленные.

kostik87 пишет:

В общем, IPTABLES обрабатывает правила сверзу вниз

это с -A, а вот с -I наоборот.

Re: Блокировка https сайтов по времени

2014-11-14T19:19:28Z

Большое спасибо за подробное разъяснение. Про iptables я читал в свое время но часто с ним не работаю и почти все забыл, а еще сейчас моячит firewallD обертка для iptables.

Re: Блокировка https сайтов по времени

2014-11-14T16:22:14Z

semperN пишет:

Убрал facebook и заменил INPUT на FORWARD но все равно пускает в vk.com

Пускает откуда?

Цепочики INPUT и OUTPUT - это пакеты, адресованные именно системе шлюза и отосланные системой шлюза.

FORWARD - транзитные пакеты от ПК за шлюзом, адресованные серверу в Internet и пакеты от сервера в Internet, адресованные ПК в сети за шлюзом.

Теперь по поводу причины непускания, у вас есть вот такие правил:

+ открыть спойлер

Консоль:

-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
...
-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP

Как минимум первым выделенным правилом вы уже разрешаете полное прохождение всех транзитных пакетов.

Вот эти правила после указанного уже не имеют смысла:

+ открыть спойлер

Консоль:

-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu

Ибо и так уже всё разрешено правилом выше.

Ну а уж эти правила:

+ открыть спойлер

Консоль:

-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
...
-A SOCIAL -j DROP

Вообще не работают, точно так же как и прочие правила после указанного выше правила, выделнного жирным.

Отсюда следует, что правила блокировки вам нужно разместить выше правила

-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT

semperN пишет:

при этом нужно еще оставить белый список адресов которым можно ходить в vk.com

Ну а правила разрешения выше правила блокировки.

Ну и что бы не "захламлять" правилами конфиг iptables вы можете использовать ipset, тогда вместо вот этих правил:

+ открыть спойлер

Консоль:

Будет одно правило.

В общем, IPTABLES обрабатывает правила сверзу вниз и если пакет подходит под какое-то из правил выше, то правила ниже уже не обрабатываются, разумеется это всё в пределах одной таблицы в цепочке.

Почитайте хотя бы вот это http://www.opennet.ru/docs/RUS/iptables/ для понимания как работает IPTABLES.

Удачи.

Re: Блокировка https сайтов по времени

2014-11-14T15:39:21Z

beliy пишет:

lone_wolf пишет:
ссыль на регистрацию сертификата за такую сумму пожалуйста в студию
для меня сертификаты по себестоимости - могу и вам если так нужно подогнать, правда сейчас за год уже 4 бакса сделали, но на 5 лет за 15 (считайте что по 3 бакса).
В скоре планирую доделать полноценный ресурс по продаже хостинга, доменов, сертификатов... рыночная цена посмотрел в среднем от 10$ - это тоже достаточно не большие деньги.
Кого заинтересовало - пишем в ЛС. Подгоню дешево, так сказать по-форумчански)

спасиб, по ка что не надо, но буду иметь ввиду

Re: Блокировка https сайтов по времени

2014-11-14T14:14:39Z

lone_wolf пишет:

ссыль на регистрацию сертификата за такую сумму пожалуйста в студию

для меня сертификаты по себестоимости - могу и вам если так нужно подогнать, правда сейчас за год уже 4 бакса сделали, но на 5 лет за 15 (считайте что по 3 бакса).
В скоре планирую доделать полноценный ресурс по продаже хостинга, доменов, сертификатов... рыночная цена посмотрел в среднем от 10$ - это тоже достаточно не большие деньги.
Кого заинтересовало - пишем в ЛС. Подгоню дешево, так сказать по-форумчански)

Re: Блокировка https сайтов по времени

2014-11-14T12:24:00Z

Убрал facebook и заменил INPUT на FORWARD но все равно пускает в vk.com

*filter
:INPUT DROP [7:645]
:FORWARD DROP [0:0]
:OUTPUT DROP [3:120]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i tun5 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT
-A INPUT -i tun1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP
COMMIT

при этом нужно еще оставить белый список адресов которым можно ходить в vk.com

Re: Блокировка https сайтов по времени

2014-11-14T11:39:37Z

beliy пишет:

а поратить 3 бакса в год на норм сертификат

ссыль на регистрацию сертификата за такую сумму пожалуйста в студию

Re: Блокировка https сайтов по времени

2014-11-14T09:53:24Z

semperN пишет:

Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.

нужно использовать не самомподписанный сертификат а поратить 3 бакса в год на норм сертификат.

А через IPTABLES проще блокировать по принципу который рассматривался относительно недавно на форуме - http://linuxforum.ru/viewtopic.php?id=36677

Re: Блокировка https сайтов по времени

2014-11-14T09:07:06Z

drBatty пишет:

semperN пишет:
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
semperN пишет:
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL

— стой, ты куда?!
— я на https!
— проходи!
—Стоять, если ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты меня сам пропустил. Давай, досвидания.
Hint: разрешения на 443 нужно прописывать ПОСЛЕ запрещения фконтакте.
-A означает "добавить ещё правило ПОСЛЕ предыдущих".

возможно нужно указывать FORWARD а не INPUT?

Re: Блокировка https сайтов по времени

2014-11-14T08:45:03Z

semperN пишет:

-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

semperN пишет:

-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL

— стой, ты куда?!
— я на https!
— проходи!
—Стоять, если ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты меня сам пропустил. Давай, досвидания.

Hint: разрешения на 443 нужно прописывать ПОСЛЕ запрещения фконтакте.

-A означает "добавить ещё правило ПОСЛЕ предыдущих".

Re: Блокировка https сайтов по времени

2014-11-14T05:31:22Z

вот так выглядит файл iptables

# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*mangle
:PREROUTING ACCEPT [123422:135725787]
:INPUT ACCEPT [95728:109838324]
:FORWARD ACCEPT [27634:25849309]
:OUTPUT ACCEPT [119938:62755031]
:POSTROUTING ACCEPT [146911:88574977]
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*filter
:INPUT DROP [27:2310]
:FORWARD DROP [0:0]
:OUTPUT DROP [15:600]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth0 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -m state --state INVALID -j DROP 
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT 
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT 
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -i tun5 -j ACCEPT 
-A INPUT -i tun0 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT 
-A INPUT -i tun1 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 74.119.76.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.255.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.224.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.224.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 103.4.96.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.24.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.152.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.159.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.239.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.240.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.65.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.67.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.68.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.69.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.71.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.72.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.73.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.74.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.75.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.76.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.77.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.66.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.178.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.78.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.79.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.80.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.82.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.83.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.84.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.85.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.86.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.87.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.88.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.89.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.90.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.91.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.92.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.93.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.94.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.95.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.253.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.186.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.192.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.192.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.193.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.194.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.195.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.60.216.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 45.64.40.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -m state --state INVALID -j DROP 
-A FORWARD -i tun5 -o ppp0 -j ACCEPT 
-A FORWARD -i eth0 -o ppp0 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT 
-A FORWARD -i tun1 -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -o tun1 -j ACCEPT 
-A FORWARD -i eth0 -o tun0 -j ACCEPT 
-A FORWARD -i tun0 -o eth0 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT 
-A FORWARD -i tun5 -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -o tun5 -j ACCEPT 
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -o eth0 -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT 
-A OUTPUT -o tun5 -j ACCEPT 
-A OUTPUT -o tun0 -j ACCEPT 
-A OUTPUT -o tun1 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT 
-A SOCIAL -j DROP 
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*nat
:PREROUTING ACCEPT [926:172343]
:POSTROUTING ACCEPT [188:24907]
:OUTPUT ACCEPT [198:25739]
-A PREROUTING -s 172.20.46.0/24 ! -d 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.121:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.121:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.37:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.35:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10005 -j DNAT --to-destination 172.20.46.131:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389 
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 143 -j DNAT --to-destination 172.20.46.241:143 
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 172.20.46.241:25 
-A POSTROUTING -s 172.20.46.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 172.20.45.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 172.20.46.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE 
COMMIT
# Completed on Fri Nov 14 09:28:56 2014

но vk.com не как не блокируется

Re: Блокировка https сайтов по времени

2014-11-13T20:40:15Z

kostik87 пишет:

Kettler пишет:
И что вы нашли в этих правилах?
Почитайте их, если вам непонятно.

До сих пор не вижу нечего критичного

Re: Блокировка https сайтов по времени

2014-11-13T20:36:50Z

Kettler пишет:

И что вы нашли в этих правилах?

Почитайте их, если вам непонятно.

Re: Блокировка https сайтов по времени

2014-11-13T19:07:12Z

kostik87 пишет:

squid в прозрачном режиме более не рекомендуется использовать.

а вот с этого момента можно поподробней