1 Тема от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

Подскажите как лучше всего блокировать социальный сети (https трафик vk.com к примеру)? Использовал классическую схему squid+squidGuard но он не блокирует https трафик.

2 Ответ от AlfaStriker (13.11.2014 12:48:43 отредактировано AlfaStriker)

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779
kostik87 пишет:
elektryk пишет:

чтобы не создавать длинную портянку ил поддоменов этих неугодных в правилах iptables?

В принципе есть расширения ipset для iptables.

есть-ли возможность заблокировать стандартными средствами iptables домен типа  *.akamaitechnologies.com,

iptables -I FORWARD -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP

Если какие-то поддомены нужно разрешить, то выше создавайте правила для разрешения, т.е. с ACCEPT.

Так же приведённое правило работает только для транзитных пакетов, т.е. пакетов от ПК, для которых указанный ПК является шлюзом и обратно, для блокировки исходящих запросов на указанные поддомены с этого ПК (шлюза) правило нужно добавлять в цепочку OUTPUT:

iptables -I OUTPUT -p tcp -m string --algo bm --string ".akamaitechnologies.com" -j DROP

и INPUT для входящих пакетов.

За подробностями по прохождению пакетов и вообще работе IPTABLES почитайте вот это: http://www.opennet.ru/docs/RUS/iptables/

А это не канает?

Сайт AlfaStriker

3 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

Я нашел только что вот такое решение http://demon.of.by/blog/linux-admin/how … -iptables/
Немного подправил но оно у меня почему то не завелось, все равно пускает в vk.com. В iptables я не так силен, может кто подскажет в чем проблема
iptables -L  выглядит так.

iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:imap state NEW 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp state NEW 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED 
DROP       all  --  anywhere             anywhere            state INVALID 
DROP       tcp  --  anywhere             anywhere            tcp flags:!FIN,SYN,RST,ACK/SYN state NEW 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:https 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:55999 
ACCEPT     tcp  --  172.20.46.0/24       anywhere            tcp dpt:squid 
ACCEPT     tcp  -- !172.20.46.0/24       anywhere            tcp spt:http ctstate RELATED,ESTABLISHED 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:http 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ms-wbt-server 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:openvpn 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain 

Chain FORWARD (policy DROP)
target     prot opt source               destination         
ACCEPT     udp  --  anywhere             anywhere            udp dpt:55999 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:55999 
ACCEPT     udp  --  anywhere             anywhere            udp spt:55999 
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:55999 
TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU 
ACCEPT     all  --  anywhere             anywhere            state NEW,RELATED,ESTABLISHED 
DROP       all  --  anywhere             anywhere            state INVALID 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ndmp 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:scp-config 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:documentum 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:documentum_s 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:smtp 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             zimbra.nowmc.ru     tcp dpt:imap 
TCPMSS     tcp  --  anywhere             anywhere            tcp flags:SYN,RST/SYN tcpmss match 0:65535 TCPMSS clamp to PMTU 
SOCIAL     all  --  anywhere             dr04.lla1.tfbnw.net/22 
SOCIAL     all  --  anywhere             69.63.176.0/20      
SOCIAL     all  --  anywhere             66.220.144.0/20     
SOCIAL     all  --  anywhere             66.220.144.0/21     
SOCIAL     all  --  anywhere             69.63.184.0/21      
SOCIAL     all  --  anywhere             69.63.176.0/21      
SOCIAL     all  --  anywhere             ae1.pr01.ams3.tfbnw.net/22 
SOCIAL     all  --  anywhere             69.171.255.0/24     
SOCIAL     all  --  anywhere             173.252.64.0/18     
SOCIAL     all  --  anywhere             69.171.224.0/19     
SOCIAL     all  --  anywhere             69.171.224.0/20     
SOCIAL     all  --  anywhere             ae5.br01.vie1.tfbnw.net/22 
SOCIAL     all  --  anywhere             69.63.176.0/24      
SOCIAL     all  --  anywhere             173.252.64.0/19     
SOCIAL     all  --  anywhere             173.252.70.0/24     
SOCIAL     all  --  anywhere             31.13.64.0/18       
SOCIAL     all  --  anywhere             31.13.24.0/21       
SOCIAL     all  --  anywhere             66.220.152.0/21     
SOCIAL     all  --  anywhere             66.220.159.0/24     
SOCIAL     all  --  anywhere             69.171.239.0/24     
SOCIAL     all  --  anywhere             69.171.240.0/20     
SOCIAL     all  --  anywhere             31.13.64.0/19       
SOCIAL     all  --  anywhere             31.13.64.0/24       
SOCIAL     all  --  anywhere             31.13.65.0/24       
SOCIAL     all  --  anywhere             31.13.67.0/24       
SOCIAL     all  --  anywhere             31.13.68.0/24       
SOCIAL     all  --  anywhere             31.13.69.0/24       
SOCIAL     all  --  anywhere             31.13.70.0/24       
SOCIAL     all  --  anywhere             31.13.71.0/24       
SOCIAL     all  --  anywhere             31.13.72.0/24       
SOCIAL     all  --  anywhere             31.13.73.0/24       
SOCIAL     all  --  anywhere             31.13.74.0/24       
SOCIAL     all  --  anywhere             31.13.75.0/24       
SOCIAL     all  --  anywhere             31.13.76.0/24       
SOCIAL     all  --  anywhere             31.13.77.0/24       
SOCIAL     all  --  anywhere             31.13.96.0/19       
SOCIAL     all  --  anywhere             31.13.66.0/24       
SOCIAL     all  --  anywhere             173.252.96.0/19     
SOCIAL     all  --  anywhere             69.63.178.0/24      
SOCIAL     all  --  anywhere             31.13.78.0/24       
SOCIAL     all  --  anywhere             31.13.79.0/24       
SOCIAL     all  --  anywhere             31.13.80.0/24       
SOCIAL     all  --  anywhere             31.13.82.0/24       
SOCIAL     all  --  anywhere             31.13.83.0/24       
SOCIAL     all  --  anywhere             31.13.84.0/24       
SOCIAL     all  --  anywhere             31.13.85.0/24       
SOCIAL     all  --  anywhere             31.13.86.0/24       
SOCIAL     all  --  anywhere             31.13.87.0/24       
SOCIAL     all  --  anywhere             31.13.88.0/24       
SOCIAL     all  --  anywhere             31.13.89.0/24       
SOCIAL     all  --  anywhere             31.13.90.0/24       
SOCIAL     all  --  anywhere             31.13.91.0/24       
SOCIAL     all  --  anywhere             31.13.92.0/24       
SOCIAL     all  --  anywhere             31.13.93.0/24       
SOCIAL     all  --  anywhere             31.13.94.0/24       
SOCIAL     all  --  anywhere             31.13.95.0/24       
SOCIAL     all  --  anywhere             69.171.253.0/24     
SOCIAL     all  --  anywhere             69.63.186.0/24      
SOCIAL     all  --  anywhere             31.13.81.0/24       
SOCIAL     all  --  anywhere             179.60.192.0/22     
SOCIAL     all  --  anywhere             179.60.192.0/24     
SOCIAL     all  --  anywhere             179.60.193.0/24     
SOCIAL     all  --  anywhere             179.60.194.0/24     
SOCIAL     all  --  anywhere             179.60.195.0/24     
SOCIAL     all  --  anywhere             185.60.216.0/22     
SOCIAL     all  --  anywhere             45.64.40.0/22       
SOCIAL     all  --  anywhere             dr04.lla1.tfbnw.net/22 
SOCIAL     all  --  anywhere             69.63.176.0/20      
SOCIAL     all  --  anywhere             69.63.176.0/21      
SOCIAL     all  --  anywhere             69.63.184.0/21      
SOCIAL     all  --  anywhere             66.220.144.0/20     
SOCIAL     all  --  anywhere             69.63.176.0/20      
SOCIAL     all  --  anywhere             srv0-224-186-93.vk.com/21 
SOCIAL     all  --  anywhere             srv0-232-186-93.vk.com/21 
SOCIAL     all  --  anywhere             srv0-128-240-87.vk.com/18 
SOCIAL     all  --  anywhere             srv0-192.vkontakte.ru/21 
SOCIAL     all  --  anywhere             95.213.0.0/18       
SOCIAL     all  --  anywhere             185.32.248.0/22     
SOCIAL     all  --  anywhere             srv0-200.vkontakte.ru/21 
SOCIAL     all  --  anywhere             srv0-192.vkontakte.ru/20 
SOCIAL     all  --  anywhere             217.20.144.0/20     
SOCIAL     all  --  anywhere             185.16.244.0/23     
SOCIAL     all  --  anywhere             185.16.246.0/24     
SOCIAL     all  --  anywhere             185.16.247.0/24     
SOCIAL     all  --  anywhere             5.61.16.0/21        

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state NEW,RELATED,ESTABLISHED 
DROP       tcp  --  anywhere             anywhere            tcp flags:!FIN,SYN,RST,ACK/SYN state NEW 
ACCEPT     tcp  --  anywhere             172.20.46.0/24      tcp spt:squid ctstate RELATED,ESTABLISHED 
ACCEPT     tcp  --  anywhere            !172.20.46.0/24      tcp dpt:http 
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:openvpn 
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:http 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:http 
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain 
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain 

Chain SOCIAL (85 references)
target     prot opt source               destination         
ACCEPT     all  --  otdel-it.ngdbnet.local  anywhere            
DROP       all  --  anywhere             anywhere

4 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Покажите лучше сами правила

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

5 Ответ от beliy

  • beliy
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.07.2014
  • Сообщений: 367
  • Репутация : [ 13 | 0 ]

У вас проблема в том что squid не настроен на https трафик. Просто настройте)

6 Ответ от Kettler (13.11.2014 20:33:44 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
beliy пишет:

У вас проблема в том что squid не настроен на https трафик. Просто настройте)

Как в прозрачном режиме? И чтоб на сертификаты не ругался?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

7 Ответ от kostik87

  • kostik87
  • Пользователь
  • Неактивен
  • Зарегистрирован: 29.06.2014
  • Сообщений: 778
  • Репутация : [ 58 | 0 ]
Kettler пишет:

Как в прозрачном режиме? И чтоб на сертификаты не ругался?

squid в прозрачном режиме более не рекомендуется использовать.

Посмотрите правила iptables выше.

8 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.

9 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
semperN пишет:

Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.

И не сможете =)

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

10 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
kostik87 пишет:
Kettler пишет:

Как в прозрачном режиме? И чтоб на сертификаты не ругался?

squid в прозрачном режиме более не рекомендуется использовать.

Посмотрите правила iptables выше.

И что вы нашли в этих правилах?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

11 Ответ от lone_wolf

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
kostik87 пишет:

squid в прозрачном режиме более не рекомендуется использовать.

а вот с этого момента можно поподробней  bw

Спросить - стыд минуты, не узнать - стыд всей жизни

12 Ответ от kostik87

  • kostik87
  • Пользователь
  • Неактивен
  • Зарегистрирован: 29.06.2014
  • Сообщений: 778
  • Репутация : [ 58 | 0 ]
Kettler пишет:

И что вы нашли в этих правилах?

Почитайте их, если вам непонятно.

13 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
kostik87 пишет:
Kettler пишет:

И что вы нашли в этих правилах?

Почитайте их, если вам непонятно.

До сих пор не вижу нечего критичного

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

14 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

вот так выглядит файл iptables

# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*mangle
:PREROUTING ACCEPT [123422:135725787]
:INPUT ACCEPT [95728:109838324]
:FORWARD ACCEPT [27634:25849309]
:OUTPUT ACCEPT [119938:62755031]
:POSTROUTING ACCEPT [146911:88574977]
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*filter
:INPUT DROP [27:2310]
:FORWARD DROP [0:0]
:OUTPUT DROP [15:600]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT 
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth0 -j ACCEPT 
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -m state --state INVALID -j DROP 
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT 
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT 
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT 
-A INPUT -i tun5 -j ACCEPT 
-A INPUT -i tun0 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT 
-A INPUT -i tun1 -j ACCEPT 
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A INPUT -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -p udp -m udp --dport 53 -j ACCEPT 
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 74.119.76.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.255.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.224.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.224.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 103.4.96.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.24.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.152.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.159.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.239.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.240.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.64.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.65.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.67.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.68.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.69.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.70.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.71.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.72.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.73.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.74.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.75.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.76.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.77.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.66.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 173.252.96.0/19 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.178.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.78.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.79.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.80.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.82.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.83.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.84.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.85.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.86.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.87.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.88.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.89.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.90.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.91.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.92.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.93.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.94.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.95.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.171.253.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.186.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.192.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.192.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.193.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.194.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 179.60.195.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.60.216.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 45.64.40.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 204.15.20.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.184.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 66.220.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 69.63.176.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL 
-A INPUT -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL 
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT 
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT 
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A FORWARD -m state --state INVALID -j DROP 
-A FORWARD -i tun5 -o ppp0 -j ACCEPT 
-A FORWARD -i eth0 -o ppp0 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT 
-A FORWARD -i tun1 -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -o tun1 -j ACCEPT 
-A FORWARD -i eth0 -o tun0 -j ACCEPT 
-A FORWARD -i tun0 -o eth0 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT 
-A FORWARD -i tun5 -o eth0 -j ACCEPT 
-A FORWARD -i eth0 -o tun5 -j ACCEPT 
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT 
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu 
-A OUTPUT -o lo -j ACCEPT 
-A OUTPUT -o eth0 -j ACCEPT 
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP 
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT 
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT 
-A OUTPUT -o tun5 -j ACCEPT 
-A OUTPUT -o tun0 -j ACCEPT 
-A OUTPUT -o tun1 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT 
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT 
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT 
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT 
-A SOCIAL -j DROP 
COMMIT
# Completed on Fri Nov 14 09:28:56 2014
# Generated by iptables-save v1.4.7 on Fri Nov 14 09:28:56 2014
*nat
:PREROUTING ACCEPT [926:172343]
:POSTROUTING ACCEPT [188:24907]
:OUTPUT ACCEPT [198:25739]
-A PREROUTING -s 172.20.46.0/24 ! -d 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.121:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.121:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10000 -j DNAT --to-destination 172.20.46.225:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10002 -j DNAT --to-destination 172.20.46.37:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10003 -j DNAT --to-destination 172.20.46.35:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10001 -j DNAT --to-destination 172.20.46.28:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389 
-A PREROUTING -i ppp0 -p tcp -m tcp --dport 10005 -j DNAT --to-destination 172.20.46.131:3389 
-A PREROUTING -i eth1 -p tcp -m tcp --dport 10004 -j DNAT --to-destination 172.20.46.74:3389 
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 143 -j DNAT --to-destination 172.20.46.241:143 
-A PREROUTING -d 176.110.224.26/32 -i ppp0 -p tcp -m tcp --dport 25 -j DNAT --to-destination 172.20.46.241:25 
-A POSTROUTING -s 172.20.46.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o ppp0 -j MASQUERADE 
-A POSTROUTING -s 192.168.168.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 172.20.45.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 172.20.46.0/24 -o eth0 -j MASQUERADE 
-A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE 
COMMIT
# Completed on Fri Nov 14 09:28:56 2014

но vk.com не как не блокируется

15 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
semperN пишет:

-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

semperN пишет:

-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL


— стой, ты куда?!
— я  на https!
— проходи!
—Стоять, если  ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты  меня  сам пропустил. Давай, досвидания.

Hint: разрешения на 443  нужно прописывать  ПОСЛЕ запрещения фконтакте.

-A означает "добавить ещё  правило  ПОСЛЕ предыдущих".

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

16 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]
drBatty пишет:
semperN пишет:

-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

semperN пишет:

-A INPUT -d 31.13.81.0/24 -p tcp -m tcp --dport 443 -j SOCIAL


— стой, ты куда?!
— я  на https!
— проходи!
—Стоять, если  ты на фконтакт!!!
—Ори дальше, я уже прошёл, а ты  меня  сам пропустил. Давай, досвидания.

Hint: разрешения на 443  нужно прописывать  ПОСЛЕ запрещения фконтакте.

-A означает "добавить ещё  правило  ПОСЛЕ предыдущих".

возможно нужно указывать FORWARD а не INPUT?

17 Ответ от beliy

  • beliy
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.07.2014
  • Сообщений: 367
  • Репутация : [ 13 | 0 ]
semperN пишет:

Да использую squid как прозрачный прокси. Завтра скину как выглядит /ets/sysconfig/iptables.
А вот проксировать https не хочу, так как работаем с ресурсом zakupki.gov.ru и другие спец. сайты есть, думаю будут проблемы.

нужно использовать не самомподписанный сертификат а поратить 3 бакса в год на норм сертификат.

А через IPTABLES проще блокировать по принципу который рассматривался относительно недавно на форуме - http://linuxforum.ru/viewtopic.php?id=36677

18 Ответ от lone_wolf

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
beliy пишет:

а поратить 3 бакса в год на норм сертификат

ссыль на регистрацию сертификата за такую сумму пожалуйста в студию

Спросить - стыд минуты, не узнать - стыд всей жизни

19 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

Убрал facebook и заменил INPUT на FORWARD но все равно пускает в vk.com

*filter
:INPUT DROP [7:645]
:FORWARD DROP [0:0]
:OUTPUT DROP [3:120]
:SOCIAL - [0:0]
-A INPUT -p tcp -m tcp --dport 143 -m state --state NEW -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -m state --state NEW -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state INVALID -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -i ppp0 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 55999 -j ACCEPT
-A INPUT -s 172.20.46.0/24 -i eth0 -p tcp -m tcp --dport 3128 -j ACCEPT
-A INPUT ! -s 172.20.46.0/24 -i ppp0 -p tcp -m tcp --sport 80 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -i ppp0 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i tun5 -j ACCEPT
-A INPUT -i tun0 -j ACCEPT
-A INPUT -i eth1 -p tcp -m state --state NEW -m tcp --dport 3389 -j ACCEPT
-A INPUT -i tun1 -j ACCEPT
-A INPUT -i eth1 -p tcp -m tcp --dport 1194 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --dport 55999 -j ACCEPT
-A FORWARD -i eth0 -p udp -m udp --sport 55999 -j ACCEPT
-A FORWARD -i eth0 -p tcp -m tcp --sport 55999 -j ACCEPT
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu
-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP
COMMIT

при этом нужно еще оставить белый список адресов которым можно ходить в vk.com

20 Ответ от beliy (14.11.2014 17:21:15 отредактировано beliy)

  • beliy
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.07.2014
  • Сообщений: 367
  • Репутация : [ 13 | 0 ]
lone_wolf пишет:

ссыль на регистрацию сертификата за такую сумму пожалуйста в студию

для меня сертификаты по себестоимости - могу и вам если так нужно подогнать, правда сейчас за год уже 4 бакса сделали, но на 5 лет за 15 (считайте что по 3 бакса).
В скоре планирую доделать полноценный ресурс по продаже хостинга, доменов, сертификатов... рыночная цена посмотрел в среднем от 10$ - это тоже достаточно не большие деньги.
Кого заинтересовало - пишем в ЛС. Подгоню дешево, так сказать по-форумчански)

21 Ответ от lone_wolf

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
beliy пишет:
lone_wolf пишет:

ссыль на регистрацию сертификата за такую сумму пожалуйста в студию

для меня сертификаты по себестоимости - могу и вам если так нужно подогнать, правда сейчас за год уже 4 бакса сделали, но на 5 лет за 15 (считайте что по 3 бакса).
В скоре планирую доделать полноценный ресурс по продаже хостинга, доменов, сертификатов... рыночная цена посмотрел в среднем от 10$ - это тоже достаточно не большие деньги.
Кого заинтересовало - пишем в ЛС. Подгоню дешево, так сказать по-форумчански)

спасиб, по ка что не надо, но буду иметь ввиду  az

Спросить - стыд минуты, не узнать - стыд всей жизни

22 Ответ от kostik87

  • kostik87
  • Пользователь
  • Неактивен
  • Зарегистрирован: 29.06.2014
  • Сообщений: 778
  • Репутация : [ 58 | 0 ]
semperN пишет:

Убрал facebook и заменил INPUT на FORWARD но все равно пускает в vk.com

Пускает откуда?

Цепочики INPUT и OUTPUT - это пакеты, адресованные именно системе шлюза и отосланные системой шлюза.

FORWARD - транзитные пакеты от ПК за шлюзом, адресованные серверу в Internet и пакеты от сервера в Internet, адресованные ПК в сети за шлюзом.

Теперь по поводу причины непускания, у вас есть вот такие правил:

+ открыть спойлер

 Консоль:

-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -m state --state INVALID -j DROP
...
-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A OUTPUT -o lo -j ACCEPT
-A OUTPUT -o eth0 -j ACCEPT
-A OUTPUT -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A OUTPUT -d 172.20.46.0/24 -o eth0 -p tcp -m tcp --sport 3128 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT ! -d 172.20.46.0/24 -o ppp0 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o ppp0 -p tcp -m tcp --sport 1194 -j ACCEPT
-A OUTPUT -o tun5 -j ACCEPT
-A OUTPUT -o tun0 -j ACCEPT
-A OUTPUT -o tun1 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -o eth1 -p tcp -m tcp --dport 80 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
-A OUTPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A SOCIAL -s 172.20.46.86/32 -j ACCEPT
-A SOCIAL -j DROP

Как минимум первым выделенным правилом вы уже разрешаете полное прохождение всех транзитных пакетов.

Вот эти правила после указанного уже не имеют смысла:

+ открыть спойлер

 Консоль:

-A FORWARD -i tun5 -o ppp0 -j ACCEPT
-A FORWARD -i eth0 -o ppp0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10000 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10001 -j ACCEPT
-A FORWARD -i tun1 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun1 -j ACCEPT
-A FORWARD -i eth0 -o tun0 -j ACCEPT
-A FORWARD -i tun0 -o eth0 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10002 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 10003 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --dport 25 -j ACCEPT
-A FORWARD -i tun5 -o eth0 -j ACCEPT
-A FORWARD -i eth0 -o tun5 -j ACCEPT
-A FORWARD -d 172.20.46.241/32 -p tcp -m tcp --dport 143 -j ACCEPT
-A FORWARD -i ppp0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 0:65535 -j TCPMSS --clamp-mss-to-pmtu

Ибо и так уже всё разрешено правилом выше.

Ну а уж эти правила:

+ открыть спойлер

 Консоль:

-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
...
-A SOCIAL -j DROP

Вообще не работают, точно так же как и прочие правила после указанного выше правила, выделнного жирным.

Отсюда следует, что правила блокировки вам нужно разместить выше правила

-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
semperN пишет:

при этом нужно еще оставить белый список адресов которым можно ходить в vk.com

Ну а правила разрешения выше правила блокировки.

Ну и что бы не "захламлять" правилами конфиг iptables вы можете использовать ipset, тогда вместо вот этих правил:

+ открыть спойлер

 Консоль:

-A FORWARD -d 93.186.224.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 93.186.232.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 87.240.128.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.213.0.0/18 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.32.248.0/22 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.200.0/21 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 95.142.192.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 217.20.144.0/20 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.244.0/23 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.246.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 185.16.247.0/24 -p tcp -m tcp --dport 443 -j SOCIAL
-A FORWARD -d 5.61.16.0/21 -p tcp -m tcp --dport 443 -j SOCIAL

Будет одно правило.

В общем, IPTABLES обрабатывает правила сверзу вниз и если пакет подходит под какое-то из правил выше, то правила ниже уже не обрабатываются, разумеется это всё в пределах одной таблицы в цепочке.

Почитайте хотя бы вот это  http://www.opennet.ru/docs/RUS/iptables/ для понимания как работает IPTABLES.

Удачи.

+ semperN

23 Ответ от semperN

  • semperN
  • Пользователь
  • Неактивен
  • Зарегистрирован: 18.05.2011
  • Сообщений: 339
  • Репутация : [ 7 | 0 ]

Большое спасибо за подробное разъяснение. Про iptables я читал в свое время но часто с ним не работаю и почти все забыл, а еще сейчас моячит firewallD обертка для iptables.

24 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
kostik87 пишет:

Будет одно правило.

внимательно приглядитесь  к самим IP,  они тоже бессмысленные.

kostik87 пишет:

В общем, IPTABLES обрабатывает правила сверзу вниз

это с -A, а  вот с -I наоборот.

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)
+ kostik87

25 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779
drBatty пишет:
kostik87 пишет:

Будет одно правило.

внимательно приглядитесь  к самим IP,  они тоже бессмысленные.

kostik87 пишет:

В общем, IPTABLES обрабатывает правила сверзу вниз

это с -A, а  вот с -I наоборот.

Дьявол в мелочах.

Сайт AlfaStriker