Forum Debian Users Gang

U ciebie mam zrobione tak:

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.100 -d 173.194.70.1/24 --dport 80 -j DNAT --to 192.168.1.2:80

Ewentualnie dla zabawy"

iptables -t nat -A PREROUTING -p tcp -s 192.168.1.100 -d 173.194.70.1/24 --dport 80 -j DNAT --to 62.212.83.1:80

:D

...

Ostatnio edytowany przez boshh (2013-01-17 06:10:42)

Filtrowanie po nazwach hostów nie ma nic wspólnego z filtrowaniem w warstwie 7. W przypadku podania w regule nazwy hosta, jest ona wcześniej rozwiązywana przez resolver, używany w systemie i zamieniana na adres IP.
Natomiast filtrowanie w warstwie 7 odbywa się przez proxy i im podobne systemy, które zaglądają do wnętrza pakietu (albo najczęściej wielu pakietów) i podejmują decyzję na podstawie przenoszonych danych.

hm, no to mogło mi sie coś pomieszać
w takim razie lista IP albo squid

ja zastosował bym jedną z dwóch opcji:

1) Proxy Squid - sprawdzone i działa
2) Swój DNS - też powinno zadziałać.

Tak jak pisałem na samym początku można całą komunikacją z portu 53 przekierować na nasz serwer, to działa bo robiłem.

@jurgensen

Przynajmniej działa. U mnie swego czasu np nie szło ruszyć blokad (w sensie ich nałożenia) ani za pomocą danguardiana, ani za pomocą iptables.

Ostatnio edytowany przez PavloAkaLogan (2013-01-08 21:26:51)

Niestety nie jest to takie proste. Facebook wykorzystuje wiele klas adresowych. Polecenie

host facebook.com | grep address | awk '{print $4}'

zwróci nam adres 173.252.100.16, natomiast strona komunikuje się z adresu 31.13.80.23. Dodatkowo, pewnie inne adresy również pozwalają dostać się do strony (np. 66.220.158.25).

Dlatego też najskuteczniejsze byłoby pobieranie wszystkich sieć routowanych do AS32934 i na ich podstawie budować reguły.

jurgensen napisał(-a):

Niestety nie jest to takie proste. Facebook wykorzystuje wiele klas adresowych. Polecenie

Kod:

host facebook.com | grep address | awk '{print $4}'

zwróci nam adres 173.252.100.16, natomiast strona komunikuje się z adresu 31.13.80.23. Dodatkowo, pewnie inne adresy również pozwalają dostać się do strony (np. 66.220.158.25).

Dlatego też najskuteczniejsze byłoby pobieranie wszystkich sieć routowanych do AS32934 i na ich podstawie budować reguły.

Host pobiera 1 adres, whois wyciąga z tego całą klasę adresową.

Można wyciągać klasy z AS, ale raczej nie będziesz tego robił co tydzień, wtedy bajzel przestaje blokować, kiedy np fb czy nk zmieni adresy.

O wiele prościej jest zbanować dostęp do innych DNSów poza biurowymi.
Potem skrypt odpytuje lokalny DNS, wyciąga adres IP i wio, do ipseta, natomiast lokalny DNS trzyma zablokowany adres w cache, i zwraca wszystkim, którzy o niego pytają.

Jeśli natomiast ktoś miałby się pierd* ze sprawdzaniem ręcznie AS-ów, to 50 razy szybciej Squida albo Havpa postawi.

Chyba, ze masz sposób, żeby wytargać skryptem wszystkie klasy IP, jakie są przypisane do danego AS-a, i to w pętli, żeby z whois wyciągać wszystkie ASy np FB, bo może ich być kilka na całym świecie.

Generalnie chodzi o to,żeby sam proces banowania był całkowicie zautomatyzowany, i działał skutecznie bez majstrowania "organoleptycznego".


Chodzi o coś, w typie:

banuj domena.tld

i skrypt banuj sam wie, co zrobić, żeby było skutecznie.

W dodatku zakładając nawet, że dzisiaj ręczne kopiowanie z AS adresów Ip ma jakiśtam sens, to jak za rok czy dwa wejdzie IPv6............... ;P

U mnie wycięcie tej klasy adresowej:
173.252.64.0/18
całkowicie obcięło FB (mam lokalny DNS).

@Winnetou
Dzięki, coś słabo znam awka, przyda się.

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2013-01-09 02:44:19)