Iptables, regras incrementadas ou simples [RESOLVIDO]

rodrigom
(usa Debian)

Enviado em 25/10/2011 - 20:58h

Amigos, boa noite;

As regras do iptables funcionam melhor quando são mais completas ou simples?

Vou justificar o motivo da dúvida:

Criei um FW e como o propósito era bloquear somente alguns domínios e .exe .bat etc... resolvi fazer pelo ipables mesmo.
Quando fiz a seguinte regra:
iptables -t nat -A FORWARD -i eth1 -m string algo bm --string ".exe" -j DROP
ele demora alguns minutos, porem começa o download...
já se eu tirar a regra, o download é instantâneo..

Então, presumi que a regra está "meio funcionando".

já dessa mesma forma, bloqueando domínios, eles não abrem, ou seja, funciona!

Ai a pergunta:

As regras do iptables funcionam melhor quando são mais completas ou simples?


Obrigado, até logo.

removido
(usa Nenhuma)

Enviado em 26/10/2011 - 00:06h

Se você quer bloquear o acesso de alguns domínios e download de arquivos, então o certo seria usar um servidor proxy (Squid).

rodrigom
(usa Debian)

Enviado em 26/10/2011 - 00:38h

A sim, eu geralmente faço isso, mas como eram somente 3 domínios e 4 ou 5 arquivos, resolvi fazer no iptables, acho que dará menos manutenção.

E também para eu estudar mais.

E então, alguma sugestão?

n4t4n
(usa Arch Linux)

Enviado em 26/10/2011 - 19:51h

As regras funcionam bem de qualquer forma, tanto gerais como mais específicas, isso depende do caso de cada um.

Você não informou o --algo corretamente.

Você pode verificar se os pacotes estão sendo filtrados ou não com o comando

iptables -vnL

Esse comando mostra na primeira coluna os pacotes que se encaixam naquela regra, daí você vai saber se está filtrando ou não. A demora é devida a conferência do pacote com a regra para ele.

rodrigom
(usa Debian)

Enviado em 30/10/2011 - 15:32h

A regra que montei, é exatamente essa, sendo que eth1, é a interface da rede interna:

iptables -t filter -A FORWARD -i eth1 -m string --algo bm --string ".exe" -j DROP

pela lógica, esta correta deveria funcionar ?

rodrigom
(usa Debian)

Enviado em 02/11/2011 - 00:50h

Valeu "n4t4n", deu certo aqui tambem.

Muito obrigado...