помогите написать правило

[gesetz]

День добрый!
сразу прошу не пинать - я новичек и многого не понимаю.

Есть сервер на ubuntu, 2 сетевые карты - внешняя eth0 и внутренняя eth1. Сервер работает шлюзом, на нем стоит прозрачно сквид и написано пару правил iptables для работы инета.

tcpdump -i eth0 port 53
показывает постоянные запросы на isc.org: "11:59:28.704447 IP хх.ххх.ххх.хх.6327 > ns.tz.ru.domain: 45256+ [1au] ANY? isc.org. (36)"

Код: [Выделить]

tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
11:59:20.953987 IP хх.ххх.ххх.хх.www > хх.ххх.ххх.хх.domain: 15086+ [1au] ANY? isc.org. (36)
11:59:20.954264 IP хх.ххх.ххх.хх.26349 > ns.tz.ru.domain: 21267+ [1au] ANY? isc.org. (36)
11:59:20.954274 IP хх.ххх.ххх.хх.26349 > ns2.tz.ru.domain: 21267+ [1au] ANY? isc.org. (36)
11:59:20.954427 IP хх.ххх.ххх.хх.48856 > ns.tz.ru.domain: 63836+ PTR? хх.ххх.ххх.хх.in-addr.arpa. (44)
11:59:20.955310 IP ns.tz.ru.domain > хх.ххх.ххх.хх.48856: 63836 NXDomain* 0/1/0 (93)
11:59:20.955414 IP хх.ххх.ххх.хх.50797 > ns.tz.ru.domain: 39461+ PTR? 210.92.170.93.in-addr.arpa. (44)
11:59:20.955974 IP ns.tz.ru.domain > хх.ххх.ххх.хх.26349: 21267 8/5/11 RRSIG[|domain]
11:59:20.956016 IP хх.ххх.ххх.хх.domain > 93.170.92.210.www: 15086 8/5/11 RRSIG[|domain]
11:59:20.956930 IP ns.tz.ru.domain > хх.ххх.ххх.хх.50797: 39461 NXDomain* 0/1/0 (104)
11:59:20.957050 IP хх.ххх.ххх.хх.40980 > ns.tz.ru.domain: 49020+ PTR? 1.234.149.194.in-addr.arpa. (44)
11:59:20.957849 IP ns.tz.ru.domain > хх.ххх.ххх.хх.40980: 49020* 1/2/4 (186)
11:59:20.957954 IP хх.ххх.ххх.хх.33505 > ns.tz.ru.domain: 5143+ PTR? 2.234.149.194.in-addr.arpa. (44)
11:59:20.958808 IP ns.tz.ru.domain > хх.ххх.ххх.хх.33505: 5143* 1/2/4 (186)
11:59:21.226271 IP 93.170.92.210.www > хх.ххх.ххх.хх.domain: 6118+ [1au] ANY? isc.org. (36)
11:59:21.226355 IP хх.ххх.ххх.хх.30686 > ns.tz.ru.domain: 24902+ [1au] ANY? isc.org. (36)
11:59:21.227810 IP ns.tz.ru.domain > хх.ххх.ххх.хх.30686: 24902 8/5/11 RRSIG[|domain]
11:59:21.227849 IP хх.ххх.ххх.хх.domain > 93.170.92.210.www: 6118 8/5/11 RRSIG[|domain]
11:59:26.824771 IP 93.170.92.210.www > хх.ххх.ххх.хх.domain: 58487+ [1au] ANY? isc.org. (36)

tcpdump -i eth1 port 53 - нет запросов на данный адрес ни от одного внутреннего пользователя.

вывод в принципе понятен((
вопросов 2:
1 (из области реалистичного) каким правилом таблицы iptables можно запретить запросы внешней сетевой карты (eth0)на адрес isc.org?
2 (из области нереального) как найти (или где найти) скрипт\процесс (если это вообще скрипт) который постоянно шлет запросы на isc.org
 
 

[gesetz]

целый лес рук с предложением помощи((