Фильтрация https

[RBV]

Доброго времени суток!

Ситуация такая: Поднял прозрачный прокси, с запретами на посещение некоторых ресурсов обошёлся средствами squid(ACL) и squidguard, а вот c https 50/50

Блокирую через iptables так:

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".youtube.com" -j DROP
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".facebook.com" -j DROP
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".vk.com" -j DROP

youtube и facebook не пропускает а вот vk.com mail.ru и одноглазников пропускает.


пробовал так:

iptables -A FORWARD -m string --string "vk.com" --algo kmp --to 65535 -j DROP

не помогает.

Подскажите как можно реализовать запрет?
Я понимаю что "социальные проблемы техническими средствами не решаются." но здесь уже личный интерес

Заранее благодарен!

[AnrDaemon]

Никак. Прежде чем что-то фильтровать, надо сначала узнать, что вообще вы фильтруете.

[WebRockefeller]

Обрати внимание на фильтрацию:
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".youtube.com" -j DROP
Youtube пренаправляет по умолчанию на домен третьего уровня. https://www.youtube.com/
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".vk.com" -j DROP
А Vk.com делает наоборот оставляет на домене второго уровня.
По этому тебе надо просто убрать точку перед доменом и он будет заблокирован.
Вообще не должна, но может быть проблема (надо будет проверить): будет ли блокировать все домены которые кончаются на "*****vk.com".

И на будущее с регулярными выражениями будь повнимательнее.

[AnrDaemon]

WebRockefeller, как ваш ответ относится к заданному вопросу?…

[RBV]

Обрати внимание на фильтрацию:
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".youtube.com" -j DROP
Youtube пренаправляет по умолчанию на домен третьего уровня. https://www.youtube.com/
iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string ".vk.com" -j DROP
А Vk.com делает наоборот оставляет на домене второго уровня.
По этому тебе надо просто убрать точку перед доменом и он будет заблокирован.
Вообще не должна, но может быть проблема (надо будет проверить): будет ли блокировать все домены которые кончаются на "*****vk.com".

И на будущее с регулярными выражениями будь повнимательнее.

Убрал точки заработало! Благодарю!

С iptables только начал разбираться, раньше админил на microsoft по этому переход на Linux тяжеловат!
Пользователь решил продолжить мысль 01 Сентября 2015, 17:14:39:Может кому понадобится.
Всё дропает

(Нажмите, чтобы показать/скрыть)

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "mail.ru" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "mail.ru" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "mail.ru" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vk.com" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vk.com" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vk.com" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "ok.ru" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "ok.ru" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "ok.ru" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "youtube.com" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "youtube.com" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "youtube.com" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "odnoklassniki.ru" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "odnoklassniki.ru" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "odnoklassniki.ru" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vkontakte.ru" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vkontakte.ru" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "vkontakte.ru" -j DROP

iptables -I FORWARD -s 10.0.0.0/24 -p tcp -m string --algo bm --string "facebook.com" -j DROP
iptables -I INPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "facebook.com" -j DROP
iptables -I OUTPUT -s 10.0.0.0/24 -p tcp -m string --algo bm --string "facebook.com" -j DROP

[WebRockefeller]

WebRockefeller, как ваш ответ относится к заданному вопросу?…

Для начала читайте внимательно сообщения и не занимайтесь флудом. Человек задал вопрос я ему помог. Результат на лицо. Даже не знаю что ответить на столь глупый вопрос.

[z-user]

А odnoklassniki.ru не пустит, а ok.ru пустит?
Пользователь решил продолжить мысль 12 Сентября 2015, 14:01:13: