Маски доменов в iptables

[Vitaly Bogachuk 1]

Подскажите пожалуйста, есть ли возможность использовать маски доменов (*.vkontakte.ru, *.mail.ru) в iptables?

 

Задача стоит отправить определённый сайт и все его сабдомены в определённый аплинк. Спасибо!

[KaYot 3 708]

Нельзя. Iptables работает с пакетами и знать ничего не знает про сайты и домены. Можно зафильтровать tcp 80тый порт с сигнатурами текстовыми вида 'vkontakte.ru', но это как-то сильно грубо и не факт что вообще будет работать.

Проще наверное посмотреть в райпе блоки адресов используемые тем же vkontakte, mail.ru и т.п. и уже этот список сетей завернуть куда нужно.

[Prime 51]

Нельзя. Iptables работает с пакетами и знать ничего не знает про сайты и домены. Можно зафильтровать tcp 80тый порт с сигнатурами текстовыми вида 'vkontakte.ru', но это как-то сильно грубо и не факт что вообще будет работать.

Проще наверное посмотреть в райпе блоки адресов используемые тем же vkontakte, mail.ru и т.п. и уже этот список сетей завернуть куда нужно.

iptables можно скормить домен, но маску скормить не получится

iptables -A INPUT -s vkontakte.ru -j ACCEPT

ACCEPT     all  --  87.240.188.250       0.0.0.0/0
ACCEPT     all  --  87.240.188.251       0.0.0.0/0
ACCEPT     all  --  87.240.188.252       0.0.0.0/0
ACCEPT     all  --  87.240.188.253       0.0.0.0/0
ACCEPT     all  --  87.240.188.254       0.0.0.0/0
ACCEPT     all  --  87.240.188.249       0.0.0.0/0

правильней формировать файлик с сетями скриптом.

а маршруитзировать уже через соурс роутинг по ip rule

[BUM 241]

-m string --string "*.vkontakte.ru"

[KaYot 3 708]

-m string --string "*.vkontakte.ru"

И в итоге половина сайтов будет глючить т.к. там ссылка на вконтакте на главной есть?

[Neelix 33]

по субдоменам не получится, т.к. роутер оперирует только ip адресами, он незнает о доменах.

[Vitaly Bogachuk 1]

Нельзя. Iptables работает с пакетами и знать ничего не знает про сайты и домены. Можно зафильтровать tcp 80тый порт с сигнатурами текстовыми вида 'vkontakte.ru', но это как-то сильно грубо и не факт что вообще будет работать.

Проще наверное посмотреть в райпе блоки адресов используемые тем же vkontakte, mail.ru и т.п. и уже этот список сетей завернуть куда нужно.

 

как посмотреть в райпе сети?

[Vitaly Bogachuk 1]

-m string --string "*.vkontakte.ru"

И в итоге половина сайтов будет глючить т.к. там ссылка на вконтакте на главной есть?

Так как сравнение идёт с каждым конкретным пакетом.. вообще непонятно что будет работать нормально)

[onorua 126]

Нельзя. Iptables работает с пакетами и знать ничего не знает про сайты и домены. Можно зафильтровать tcp 80тый порт с сигнатурами текстовыми вида 'vkontakte.ru', но это как-то сильно грубо и не факт что вообще будет работать.

Проще наверное посмотреть в райпе блоки адресов используемые тем же vkontakte, mail.ru и т.п. и уже этот список сетей завернуть куда нужно.

 

как посмотреть в райпе сети?

 

Например вот так:

http://www.db.ripe.net/whois?form_type=simple&full_query_string=&searchtext=87.240.188.250&do_search=Search

[Vitaly Bogachuk 1]

Нельзя. Iptables работает с пакетами и знать ничего не знает про сайты и домены. Можно зафильтровать tcp 80тый порт с сигнатурами текстовыми вида 'vkontakte.ru', но это как-то сильно грубо и не факт что вообще будет работать.

Проще наверное посмотреть в райпе блоки адресов используемые тем же vkontakte, mail.ru и т.п. и уже этот список сетей завернуть куда нужно.

 

как посмотреть в райпе сети?

 

Например вот так:

http://www.db.ripe.net/whois?form_type=simple&full_query_string=&searchtext=87.240.188.250&do_search=Search

спс!