Dotaz: iptables a blokovani domen

[Jeason]

pouzivam iptables a potrebuji zakazat nekolik domen s hrama aby ze uzvatele nemohli hrat misto prace.
nemam proxi.da se to resit jen prez iptables?

jak?
Díky

Odpovědi

[Michal Kubeček]

Netfilter pracuje na úrovni hlaviček síťových protokolů, takže můžete zakazovat IP adresy nebo síťové rozsahy. Čistě teoreticky by se dal provádět reverzní lookup, ale je to naprosto šílený nápad…

[snowracer]

Pomineme-li smyslupnost věci, která se mi moc nezdá, tak řešení přes iptables asi není ta správná cesta.

Ve squidu to jde nastavit poměrně snadno. Také z něj lze získat informace o tom, kdo si jaké stránky žádá. Kontrola a osobní pohovor by mi přišly jako efektivnější řešení než zákazy.

[Jeason]

poradite mi jak na squida?

[xkesh]

aby ze uzvatele nemohli hrat misto prace.

kdyz po nich tu praci pak nikdo nechce... at si hrajou :)))

[Jeason]

squid je tezke nakonfigurovat?

[Petr]

No jak už tu zaznělo, dát tolik práce aby neměli čas hrát. Pokud mají hotovo, nevidím důvod aby si nezahráli. Kdo si hraje, nezlobí .

[Jary]

Možná že ty hry zatěžujou dost síť a linku do internetu.

[Jeason]

ano zatežují síť a vzniká závislost.
také se zaměstnancí baví o pauzách o hrách,místo toho aby třeba rozebírali problematiku v z práce.

[jm]

také se zaměstnancí baví o pauzách o hrách,místo toho aby třeba rozebírali problematiku v z práce.

Myslim, ze do toho, o cem se zamestnanci bavi o prestavce, je vam opravdu velky *****...

[Michal Kubeček]

také se zaměstnancí baví o pauzách o hrách,místo toho aby třeba rozebírali problematiku v z práce.

Vážený pane, pokud vám to v hodinách dějepisu uniklo, nevolnictví bylo v našich končinách zrušeno už Josefem II., a to na konci osmnáctého století. Nyní, jen pro vaši informaci, máme století dvacáté první a někteří osvícenější zaměstnavatelé začínají přicházet na to, že pauza slouží k tomu, aby si zaměstnanec od práce na chvíli odpočinul…

[Alex]

Asi jsem něco nepochopil, ale přece každá doména odpovídá nějaké podsíti. Tak si zjistěte adresy těch podsítí a pak už by mělo být jednoduché je odfiltrovat.

[unchallenger]

Doména a podsíť jsou dost nezávislé. Jedna IP může mít klidně tisíc doménových jmen -- a při zablokování IP zablokuješ všechno.

[Jeason]

tim bych si hlavu nelama, rozhodne nejde o servery ktere by meli pro nas zasadne dulezity obsah. asi nehostuji na jednom serveru stranky micz.cz a rada her ?

[Jarek Šeděnka]

proc ne? velke hostingy maji tisice domen na jedne serverove farme..

[billgates]

Tiez by som to odporucal riesit cez squid. Nie je to vobec problem nakonfigurovat. Treba ho nastavit ako transparent proxy, vypnut cache, vytvorit zoznam blokovanych domen a nastavit v iptables, aby vsetku komunikaciu na porte 80 presmeroval na squida. Toto riesenie mam vyskusane a funguje pekne. Ak sa Vam squid zda ako prilis tazkotonazne riesenie, mozem odporucit tinyproxy, ale to som neskusal, takze neviem, ci naozaj dobre funguje.

[George]

se mi strasne libi, jak predchozi prispevku maji velkou informacni hodnotu. Proc normalne neodpovite na dotaz ? Nebo vam medi, ze si muzete neco placnout ? :(

Ale k veci.

1. samo ze jde iptables -A INPUT -s IP -j DROP IP je treba 10.20.30.40 - od teto chvile sem nevleze odtud nic. Pokud zadame jmenny nazev, stejne se nam prelozi na IP. Tak je lepsi si to zjistit.

2.Jestlize mame povoleny NAT , SQUID nam nic neresi. Jednoduse receno. Pokud nejaky uzivatel bude pristupovat na jinem portu nez na QUIDU (standart 3128,8080) je to jedno. Museli by jsme by jsme to zakazat.

[billgates]

nechapem, preco by squid nic neriesil. Proste ho treba nahodit ako transparent proxy (na nete neuveritelna hromada navodov) a nastavit iptables -A PREROUTING --dport 80 -j DNAT --to-destination ip_kde_bezi_squid:8080 A toto uz urcite len tak nejaky uzivatel neobide.

[jm]

se mi strasne libi, jak predchozi prispevku maji velkou informacni hodnotu. Proc normalne neodpovite na dotaz ? Nebo vam medi, ze si muzete neco placnout ? :( IP je treba 10.20.30.40 - od teto chvile sem nevleze odtud nic. Pokud zadame jmenny nazev, stejne se nam prelozi na IP. Tak je lepsi si to zjistit.

Aha... 10.20.30.40 je domena - tak to jooo! Uz je nam to vsem jasne, jeste zes nam poradil, byli bychom bez tebe uplne v loji! A az se ta IP adresa zmeni, tak co? A co kdyz na te stejne IP adrese visi jeste tisic jinych domen? He?

[George]

ses debil ne ? nebudu tu vysvetlovat domeny. Ale asi , pokud budou hrat, budou se pripojovat na urcity server. A O TO JDE !

taky proc by hry mely chodit jen prez 8080/80/3128 a HTTP protokol ??!!

klidanko si muze kdokoliv protunelovat prez jakykoliv port veskerou komunikaci. (je k tomu jeste neco za potrebi .. nebudu napovidat)

[jm]

Zato ty jses inteligent, domeno! :-P

[Michal Kubeček]

1. Nenadávete ostatním. Obzvláště ne v případě, že poskytují správnější informace než vy.

2. Pořád ignorujete skutečnost, že na tom "herním" serveru může běžet i mnoho dalších služeb. Dokonce i takové, které jsou potřebné k práci.

3. Původní dotaz se ptal na blokování domén, vaše odpověď s ním tedy nemá prakticky nic společného.

[Jeason]

ano, mate pravdu,ptal jsem se na neco a je tu hromada odpovedi okolo.

rekl bych ze nekteri radeji hledaji duvod jak se tematu vyhnout a odpocuji ke ktavinam.

[billgates]

Zadavatel otazky zrejme nechce zablokovat hry typu CS a podobne, ale online flash hry. A na tie sa da pristupovat priamo len cez HTTP. Ak chcete tunelovat, musie mat pristup na nejaky spriateleny host/server niekde mimo firewallu. Musite sam uznat, za zakazovanie konkretnej IP adresy je nezmysel, lebo je obrovska hromada stranok, ktore bezia na tej istej IP a tak sa kludne moze stat, ze zakazete nejaku vyznamnu stranku. Ak nic ine zamestnanci k praci nepotrebuju, tak treba povolit len port 80/443 presmerovany na squid, pripadne 25 na lokalny SMTP server a POP3/IMAP tiez na konkretny host a nic viac. Cez to sa Vam uz nedostane ani velmi skuseny uzivatel (ak samozrejme nehackne server). Ak viete este o nejakej moznosti, pretunelovat sa cez toto, tak by ma to fakt zaujimalo (samozrejme na squide bude zakazane forwardovat nejake ine protokoly). Na squide sa este da nastavit blokovanie reklam, flashu a vsetkych ostatnych hluposti, ktore urcite zamestnanci k praci nepotrebuju a firma tym este aj usetri za pripojenie.

[Michal Kubeček]

Co se týká flashových her, tak tam je podobné opatření úplně bezpředmětné. Flashovou hru si uživatel může stáhnout doma a do práce si ji přinést třeba na flash disku (pouhá shoda jmen :-) ).

[billgates]

To je pravda, ale myslim, ze proti tomu sa neda branit akymkolvek nastavenim na servri. Povodne asi islo aj o to, aby sa nezatazovalo pasmo. Mozno treba zaviest nejaky remote admin na kazom kompe a potom nahodne vyberat stanice a ak na niektorom bude bezat hra, toho zamestnanca ihned prepustit. Alebo do kazdej miestnosti dat SBSkara, ktory bude sledovat zamestnancov. Proste, neexistuje idealne riesenie :)

[Zdeněk Burda]

Mozno treba zaviest nejaky remote admin na kazom kompe a potom nahodne vyberat stanice a ak na niektorom bude bezat hra, toho zamestnanca ihned prepustit.

Jako řadovému zaměstnanci by mi to nikdo nemohl udělat. Jako admin bych to to zase nemohl udělat já. Je to hnusné a už jen z toho nápadu mi je na zvracení.

[billgates]

Ved jasne. Ja som to myslel cynicky. Podla mna si zamestnanci mozu robit co chcu, ak neobtazuju ostatnych a plnia si svoje ulohy. Som proti takymto restrikciam.

[Jeason]

no myslite dobre. jenze oni hraji webove hry. bouser mit museji k praci. hry jakoz to SW jsem osefoval, nemaji prava na instalace a maji povoleny jen sw ke spousteni co potrebuji.

[Michal Marek (twofish)]

Předchozí příspěvky aspoň neobsahovaly dezinformace...

[martinek]

ja bych skusil modul STRING z patch o matic. kdyz zadas iptables -A INPUT -i eth0 -p TCP --dport 80 -m string --string "neco" \ -j DROP, tak kdyz misto neco napises counter strike, nebo jakykoliv slovo tak to ten paket zahodí a zablokuje stránku.

[Michal Kubeček]

Vzorová ukázka, jak to nedělat.

1. Vzorek nemusí být v jednom paketu, může vyjít na rozhraní dvou paketů a pak ho nezachytíte.

2. Vzorek se může vyskytnout i v komunikaci, která nemá s tou hrou moc společného. Uvědomte si, že kdybyste něco takového nasadil, tak ten váš příspěvek neodešlete a s drobnou modifikací (která by dávala víc smysl) byste si ho ani nepřečetl. Nemluvě o tom, že se ten název může vyskytovat třeba v reklamě na stránce…

[Jeason]

iptables -A INPUT -s 82.208.36.17 -j DROP 82.208.36.17
tohle mi zrovna nejde
dobre, stací mi blokování IP adres.

[billgates]

Lebo ak je to na routri, tak treba dat toto pravidlo do FORWARD, nie do INPUT.

[George]

ja tam neodentroval ani neudelal carku, omlouvam se.

iptables -A INPUT -s IP -j DROP tady uz nic

iptables -A INPUT -s 82.208.36.17 -j DROP

[Jeason]

Bouzel, at vyzkousim na iptables jakoukoliv variantu:
iptables -A INPUT -s 82.208.36.17 -j DROP
iptables -A OUTPUT -s 82.208.36.17 -j DROP
iptables -A OUTPUT -s mnemonic.cz -j DROP
iptables -A FORWARD -s mnemonic.cz -j DROP
iptables -A FORWARD -s 82.208.36.17 -j DROP

tak to porad na mnemonic.cz pousti.

[billgates]

Staci: iptables -A FORWARD -d 82.208.36.17 -j DROP -s znaci zdrojovu adresu a -d cielovu

[Michal Čihař]

Jaký máš pravidla předtím? Nepovoluješ tam už ESTABLISHED a RELATED? Nebylo by spíš lepší blokovat odchozí provoz (-d namísto -s)?

[Jeason]

$IPTABLES -A FORWARD -d 82.208.36.17 -j DROP # mnemonic.cz - hry nebeha :(

[Michal Marek (twofish)]

Účinek nějakého pravidla pochopitelně závisí na těch předchozích, když ten paket přijme nějaké pravidlo předtím (typicky ESTABILISHED a RELATED pakety), tak už se ostatní ke slovu nedostanou. Je potřeba a) dát to pravidlo na strávné místo a b) spíš testovat pakety odcházející z vnitřní sítě do internetu -- man iptables.

Ale několik lidí se vám tu už snažilo vysvětlit, že řešit tohle paketovým filterem opravdu není nejlepší nápad...

[Jeason]

mam tam jen
$IPTABLES -A INPUT -d $INET_IP -m state --state ESTABLISHED,RELATED -j ACCEPT
a za tim mam az
$IPTABLES -A FORWARD -d 82.208.36.17 -j DROP # mnemonic.cz - hry
firewall jsem nesestavoval sam,takze nevim proc je tam prvni radek co jsem zde psal.

[jm]

firewall jsem nesestavoval sam,takze nevim proc je tam prvni radek co jsem zde psal.

Hmm, dobry, no. Nejlepsi bude, az to kvuli vasemu "filtrovani" her nekdo hackne, to se smichy neudrzim...

[Jeason]

at si hrajou doma a ne v praci kdyz zatezujou firemni linku.

[Michal Čihař]

Dobře tak znova:

1. Rozumnější je domluva než nějaké (neúčinné) blokování, to stejně jenom bude motivovat k jeho obcházení.
2. Pokud už blokovat http, tak pomocí proxy.
3. Pokud už chceš blokovat firewallem, tak si o něm přečti nějakou dokumentaci (třeba články na rootu).

Je to fakt tak nepochopitelný?

[Jeason]

neresim zde jak je to spolecensky vhodne ci ne,ale otazku jak to udelat.to pulka prispivajicich uzivatelu nechape.

[jm]

Asi jste neco nepochopil - nechapu, proc se vrtate ve firewallu, kteremu nerozumite ani za mak a jeste si asi od deseti dalsich lidi nejste ochoten nechat vysvetlit, ze paketovy filtr je naprosto nevhodny pro podobne ucely.

Ach jo.

[Michal Marek (twofish)]

ale otazku jak to udelat.

Takhle právě ne, to se vám půlka lidí snaží vysvětlit. Rozumnější (technicky) je řešit to přes ten squid, (Google).

[Jeason]

squida jsme nainstaloval, jenze kdyz prez nej chci na net tak mam krasnou stranku :

ERROR

The requested URL could not be retrieved

---

While trying to retrieve the URL: http://www.seznam.cz/

The following error was encountered:

• Access Denied.

  Access control configuration prevents your request from being allowed at this time. Please contact your service provider if you feel this is incorrect.

[jm]

No, to si ho taky musite umet nastavit aneb PEBKAC. A propos, vy tam nemate nejakeho spravce site, nebo vas s podobnym pozadavkem snad poslal do (_|_) ?

[Jeason]

ne spravce tu nemame.
o tom jak to nastavit se radim v tomto foru

[Zdeněk Burda]

Ale to je chyba. Asi je na čase si najít nějakého správce, předpokládám, že bude stačit i nějaký student na pár hodin měsíčně aby pomohl podobné blbiny řešit.

[Jeason]

tak presne tyhle blbinky se chci naucit ja.

[Zdeněk Burda]

Tak začni tím, že si přečteš stare.cz/otazky a hned po tom si přečti nějaké howto případně manuál ke squidovi.

[George]

pravidla se aplikuji postupne, je potreba to prehodit v poradi.

iptables -F #vymazat

a zadat znovu ve spravnem poradi. Urcite se nekde spousti script. jinak je tam defaultne

iptables -L #list pravidel

Chain INPUT (policy ACCEPT) target prot opt source destination

Chain FORWARD (policy ACCEPT) target prot opt source destination

Chain OUTPUT (policy ACCEPT) target prot opt source destination

[Kamorek]

Ja bych s dovoleni doporucil jiz ponekolikate jako zaklad k rozchozeni clanek: http://www.abclinuxu.cz/clanky/show/34642

Jo, neni to buhvi co bezpecneho, o tom je i ta diskuse, ale pokud firewall pana Urbanka vypada tak, jak pise ze vypada, tak si myslim, ze to hraje v celku nedulezitou roli))