Блокировка Одноклассников.

[Просто Царь]

Использую на шлюзе Traffpro. Блокировка сайтов в нем работает без нареканий, но вот с одноклассниками дела обстоят сложнее. Блокировать множество его доменов просто не возможно физически, и время от времени появляются все новые. По данным DNS одноклассники занимают целые подсети, что делает невозможной блокировку по ip в системе traffpro так как их уж слишком много. Остается только использовать для блокировки iptables. Для этого думаю возможно использовать два варианта:

1. Подсети, занимаемые одноклассниками

Код: [Выделить]

81.177.140.0/24
81.177.141.0/24
81.177.142.0/24
81.176.227.0/24
217.106.230.190/32
195.222.187.0/24
212.119.208.0/24
212.119.209.0/24
195.239.7.0/24
192.222.166.0/24
212.119.216.0/24
195.239.157.0/24
213.221.32.0/24
212.119.195.0/24
195.239.51.0/24
62.105.149.0/24
62.105.140.0/24
212.44.139.0/24
195.218.140.0/24
213.221.7.0/24
195.218.169.0/24
2. Способ блокировки №1.

Код: [Выделить]

iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 81.177.140.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 81.177.141.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 81.177.142.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 81.176.227.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 217.106.230.190/32 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.222.187.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 212.119.208.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 212.119.209.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.239.7.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 192.222.166.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 212.119.216.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.239.157.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 213.221.32.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 212.119.195.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.239.51.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 62.105.149.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 62.105.140.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 212.44.139.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.218.140.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 213.221.7.0/24 -j DROP
iptables -A FORWARD -p tcp -s 192.168.0.0/24 -d 195.218.169.0/24 -j DROP
3. Способ №2 (Перенаправление на локальную страницу с предупреждением)

Код: [Выделить]

iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.140.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.141.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.142.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.176.227.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 217.106.230.190/32 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.208.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.209.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.141.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.7.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 192.222.166.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.216.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.157.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 213.221.32.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.195.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.51.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 62.105.149.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 62.105.140.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.44.139.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.218.140.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 213.221.7.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.html
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.218.169.0/24 -p tcp --dport 80 -j DNAT --to-destination 192.168.0.1/errore.htmlИли может быть для перенаправления сделать так:

Код: [Выделить]

iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.140.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.141.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.142.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.176.227.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 217.106.230.190/32 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.208.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.209.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 81.177.141.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.7.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 192.222.166.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.216.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.157.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 213.221.32.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.119.195.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.239.51.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 62.105.149.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 62.105.140.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 212.44.139.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.218.140.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 213.221.7.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
iptables -t nat -A PREROUTING --src 192.168.0.0/24 --dst 195.218.169.0/24 -p tcp --dport 80 -j REDIRECT --to-port 80
Но в этом случае откроется страница Apache по умолчанию.

Так вот собственно вопрос: Какой из способов будет наиболее предпочтительнее (а быть может и ошибся где) и желательно менее ресурсоемким для шлюза?
К сожалению ничего другого для блокирования этого монстра, как блокировка целых подсетей пока в голову не приходит.
P.S. Squid не предлагать.

[avial]

а не резолвить может будет проще ?

[AnrDaemon]

Никто не запретит клиентам прописать адреса в hosts.

[Просто Царь]

Ну прописывать врядли кто будет (по крайней мере пока). Но решение хочется найти универсальное.
Может еще кто какие адреса одноклассников знает? просто пользователи в сети просто помешались на них. И все же как считаете какой способ наиболее предпочтительнее?

[avial]

Ну прописывать врядли кто будет (по крайней мере). Но решение хочется найти универсальное.

универсальное  ?  ну сегодня уже советовал на форуме,  скажу еще раз " open dns "  и ничего практически настраивать не надо , там же и порно поблочить можно.
и ещо,   разрешать пользователям в хостс писать что то , это дЕбилизм.

[Tokh]

Ну прописывать врядли кто будет (по крайней мере). Но решение хочется найти универсальное.
Может еще кто какие адреса одноклассников знает? просто пользователи в сети просто помешались на них. И все же как считаете какой способ наиболее предпочтительнее?

Решение претендующее на универсальность довольно простое - доступ только к "белому" списку адресов, в белый список адреса попадают только по письменной заявке с обязательным обоснованием служебной необходимости. Ку.

Другие варианты с притензией на универсальность приводят к необходимости фильтровать трафик, вылавливая в нём куски html совпадающие с образцами опального сайта... После чего человек догадывается осуществлять соединение с прокси сервером дома, с простеньким шифрованием. Дальше мобильник на USB шнуре...

В качестве некоего технического ухищрения можно взять на вооружение тему:
http://www.opennet.ru/openforum/vsluhforumID12/4593.html

Поднять собственный кеширующий DNS, все DNS запросы в цепях PREROUTING отправлять этому своему серверу. Так же как делают с перенаправлением трафика в SQUID. В логах DNS запросов выискивать новые адреса. Возможно надо бы контролировать, что нет DNS запросов по другим портам.

Возможен доступ по IP адресам. Не уверен, что есть IP которым не соответствует хоть одно известное доменное имя. А доменные имена со временем становятся известны. Но всё же это дырка.

По идее можно комбинировать всё это и резаки рекламы настроенные на фрагменты html кода, по расписанию собирать, обновлять образцы кода. Пока трафик не шифрованный...

P.S. Ну помешались люди, и Бог им судья. Если они при этом работают с пользой, то пусть работают в условиях комфортных им, а не Вам... Ооочень часто не Вы, а они добывают деньги на оплату Ваших услуг. Даже при том, что сайтик стрёмный.

[AnrDaemon]

и ещо,   разрешать пользователям в хостс писать что то , это дЕбилизм.

А ты попробуй запретить... >.< Эти уроды с LiveCD бегают...

[avial]

да какой там лайв сиди,  пароль на биос )))

[AnrDaemon]

Только пользовательский Матери дурацкие.

[yuristep]

Могу озвучить свой вариант - прозрачный SQUID, на который заворачиваются ВСЕ попытки коннекта наружу на порты 80, 8080, 3128 и т.д.. плюс заворот со SQUID на HAVP с ClamAV. Средствами SQUID и параллельно HAVP запрещены все! адреса, в которых есть odnoklassniki. Полтора года - полет без малейших нареканий

[VinnyPooh]

В знакомой конторке сделали проще.
1 мегабайт с одноклассников - минус 50 рублей с премии (оклад маленький). Финансовый рычаг оказался очень весомым аргументом. ЗЫ. Многочисленные анонимайзеры как правило собирают логины и пароли этих лошков, поэтому человек наказывает себя сам 

[yuristep]

В знакомой конторке сделали проще.
1 мегабайт с одноклассников - минус 50 рублей с премии (оклад маленький). Финансовый рычаг оказался очень весомым аргументом. ЗЫ. Многочисленные анонимайзеры как правило собирают логины и пароли этих лошков, поэтому человек наказывает себя сам 

К сожалению не всегда работает - "нашему человеку" психологически гораздо проще переварить "низ-з-зя", чем то, что у него "забрали честно заработанные им деньги"

[Просто Царь]

Да, вариантов действительно много, и практически все их я рассматривал, но не все они подходят для применения в моем случае.
1. Белый список. Есть пользователи, которым разрешен доступ только на корпоративную почту и сайт, либо же на сервер клиент банка. Сними проблем нет, но есть же и те, кому нужен "нормальный" доступ в интернет и у кого нельзя составить такой список в силу специфики их деятельности.
2. Использовать только сквид тоже не вариант, так как необходимо предоставлять и учитывать трафик по различным портам и протоколам, а не только http. Конечно можно использовать его совместно с траффпро, который у меня как раз и функционирует, но пока имеет место задвоение трафика в отчетах что не есть хорошо.
3. Вариант блокировки на собственном ДНС сервере я рассматривал, но что-то не пошло с ним, хотя я и не долго бился.
4. OpenDNS? Ну этот вариант я как-то упустил.


To Somewhere there out there: Ну а что касается мобилиника на шнуре, так там хоть сутками пускай сидят за свой счет, работу то за них никто делать не будет. Хотя подключиться им все равно прав не хватит 
Да. пользователи бывают разные. Одни порой любили ip менять (админиские права нельзя было забрать на тех машинах в силу используемого софта), вылечилось зарезанием прав админа по самое нимагу и заведением нового с неизвестным им паролем. Так что выход можно найти всегда, главное найти как можно более изящный.
Пользователь решил продолжить мысль 24 Февраля 2010, 11:04:52:Не сайт, а просто одна головная боль для админа. С правилами все хорошо, они работают, но постоянно появляются все новые ip адреса у этих доменов. Кто занимался этим вопросом, может поделится полным их списком, хочу написать скрипт по проверке доменов и обновлять периодически правила для блокировки с учетом новых данных.

[Unreg]

iptables -t filter -I INPUT -m string --string "odnoklassniki.ru" --algo kmp --to 65535 -j DROP -v
iptables -t filter -I FORWARD -m string --string "odnoklassniki.ru" --algo kmp --to 65535 -j DROP -v

[shushpanchik]

Делал до ужаса просто:

Код: [Выделить]

iptables -A FORWARD -i eth0 -j ACCEPT
iptables -A FORWARD -s odnoklassniki.ru -i eth0 -j DROPВсе работало, никаких одноклассников. Но у меня не было никаких биллингов, никаких прокси. Обычный NAT