[+] Blokowanie adresów www

[+] Blokowanie adresów www - nasza klasa

raczkowski1 - 08-10-2008 15:53
Witam
Mam zadanie zablokować dostęp do naszej klasy, przez jakiś czas działała regułka shorewalla, niestety ostatnio przestało działać.
Każdy w sieci może wejść na tą stronę, a regułkę mam taką:
#nasza klasa
REJECT loc net:195.93.178.5 all
#allegro.pl
REJECT loc:192.168.100/24 net:193.23.48.134 all
#fotka.pl
REJECT loc net:77.79.219.2 all Na allegro i fotka działa blokada, ale na naszą klasę można wejść.

Z góry dzięki za pomoc.
Pozdrawiam

tydell - 09-10-2008 09:12
C:\WINDOWS>ping nasza-klasa.pl

Badanie nasza-klasa.pl [195.93.178.6] z użyciem 32 bajtów danych:

Odpowiedź z 195.93.178.6: bajtów=32 czas=970ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=1011ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=995ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=965ms TTL=50 jak widzisz zmienił się adres IP serwisu nasza-klasa stąd Twoja regułka nie działa chwilowo
dodaj adres 195.93.178.6 do regułki i będzie ok (teraz masz 195.93.178.5)

LiTE - 09-10-2008 09:48
Nie można podawać regułek normalnie domenami?

raczkowski1 - 09-10-2008 10:21

C:\WINDOWS>ping nasza-klasa.pl

Badanie nasza-klasa.pl [195.93.178.6] z użyciem 32 bajtów danych:

Odpowiedź z 195.93.178.6: bajtów=32 czas=970ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=1011ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=995ms TTL=50
Odpowiedź z 195.93.178.6: bajtów=32 czas=965ms TTL=50 jak widzisz zmienił się adres IP serwisu nasza-klasa stąd Twoja regułka nie działa chwilowo
dodaj adres 195.93.178.6 do regułki i będzie ok (teraz masz 195.93.178.5) ok ale ja mam tak:
C:\Documents and Settings\Admin>ping nasza-klasa.pl

Badanie nasza-klasa.pl [195.93.178.5] z użyciem 32 bajtów danych:

Odpowiedź z 195.93.178.5: bajtów=32 czas=275ms TTL=58
Odpowiedź z 195.93.178.5: bajtów=32 czas=346ms TTL=58
Odpowiedź z 195.93.178.5: bajtów=32 czas=406ms TTL=58
Odpowiedź z 195.93.178.5: bajtów=32 czas=541ms TTL=58 ale sprawdzę twoje informacje.

Przez iptables da się no ale nie mam kiedy przekonfigurować serwer.

Pozdrawiam

[ Dodano: 2008-10-09, 11:25 ]

jak widzisz zmienił się adres IP serwisu nasza-klasa stąd Twoja regułka nie działa chwilowo
dodaj adres 195.93.178.6 do regułki i będzie ok (teraz masz 195.93.178.5) Dzięki wielkie działą :)

Pozdrawiam

mesiu84 - 10-10-2008 01:02
pytałem swego czasu o podobną rzecz, zrób tak:

route add -host nasza-klasa.pl reject to załatwi sprawę, jeszcze tylko jakiś skrypcik co by ci po restarcie serwera się nie wykasowały ustawienia, żeby usunąć regułę dajesz:

route del -host nasza-klasa.pl reject

raczkowski1 - 10-10-2008 10:29
Dziękuję, tylko pytanie czy jak tak samo dam dla aukcje.onet.pl to czy puści slowniki.onet.pl. Bo te domeny mają to samo IP.

Pozdrawiam

tydell - 12-10-2008 19:58
W tym przypadku zacznij blokować za pomocą nazw domen, nie za pomocą IP.

W tamtym przypadku nasza-klasa.pl nie działała Ci, bo dana domena może znajdować się na kilku serwerach (po to aby był do niej dostęp gdyby jedyny serwer wysiadł, działa wtedy drugi).
Stąd nasza-klasa.pl ma np. dwa adresy IP, czyli 195.93.178.5 oraz 195.93.178.6, a być może będą jeszcze jakieś, kto wie.
Więc aby skutecznie przyblokować Naszą Klasę zostaw oba wpisy w regułce.
Tak samo jak na dwóch komputerach w tej samej sieci szuka się tego samego w googlach, na każdym komputerze mogą być trochę odmienne wyniki wyszukiwania, zależy z którym serwerem obsługującym google Cię połączy.

Tak więc czasami wystarcza blokowanie po IP, a czasami domenami tak jak podał mesiu84.

TooMeeK - 23-09-2009 11:27
Jak zablokować chomikuj.pl?
Próbowałem: ${iptables} -A INPUT -s chomikuj.pl -j DROP
${iptables} -A INPUT --source chomikuj.pl -p tcp -j DROP
${iptables} -A FORWARD --source chomikuj.pl -p tcp -j DROP
${iptables} -A FORWARD -s 192.168.0.0/24 -d chomikuj.pl -p tcp -j DROP
route add -host chomikuj.pl reject Nie działa. Mam co prawda: serwer:/home/tomcio# nmap -v chomikuj.pl

Starting Nmap 4.62 ( http://nmap.org ) at 2009-09-23 11:25 CEST
Initiating Ping Scan at 11:25
Scanning 208.43.223.10 [2 ports]
sendto in send_ip_packet: sendto(5, packet, 40, 0, 208.43.223.10, 16) => Network is unreachable
Offending packet: TCP serwer_IP:33334 > 208.43.223.10:80 A ttl=56 id=41488 iplen=40 seq=776690658 win=1024 ack=1768326155
Sleeping 15 seconds then retrying

chomikuj:/home/tomcio# ping chomikuj.pl
connect: Network is unreachable Po stronie klienta jest: Badanie chomikuj.pl [208.43.223.10] z użyciem 32 bajtów danych:

Odpowiedź z 192.168.0.1: Host docelowy jest nieosiągalny.
Odpowiedź z 192.168.0.1: Host docelowy jest nieosiągalny.
Odpowiedź z 192.168.0.1: Host docelowy jest nieosiągalny.
Odpowiedź z 192.168.0.1: Host docelowy jest nieosiągalny. Ale po stronie klienta dalej mogę wejść na ten serwis! Nie mam Squida. Historia wyczyszczona w przeglądarce. Pomysły?

kayo - 23-09-2009 12:22
http://debian.linux.pl/viewtopic.php?t=16592

TooMeeK - 24-09-2009 10:55
${iptables} -t nat -A PREROUTING -p tcp -s 192.168.0.0/24 -d 216.239.59.104 --dport 80 -j DNAT --to 208.43.223.10:80 gdzie:
216.239.59.104 = www.google.pl
208.43.223.10 = chomikuj.pl Nie działa.

EDIT:
Eh, gdzie sie człowiek śpieszy, tam się licho cieszy..
${iptables} -t nat -A PREROUTING -p tcp -s 192.168.0.0/24 -d 208.43.223.10 --dport 80 -j DNAT --to 216.239.59.104:80 Działa.

[ Dodano: 2009-09-24, 11:15 ]
A tutaj cały kod:
echo "Blokada roznych serwisow WWW"
#Lista serwisow oddzielona spacjami
LISTA_SERWISOW="193.17.41.95 208.43.223.10"
#193.17.41.95 = wrzuta.pl
#208.43.223.10 = chomikuj.pl
if [ -n "$LISTA_SERWISOW" ]; then
for WWW in ${LISTA_SERWISOW}; do
${iptables} -t nat -A PREROUTING -p tcp -s 192.168.0.0/24 -d ${WWW} --dport 80 -j DNAT --to 216.239.59.104:80
done
fi

sethiel - 24-09-2009 15:32
Wypróbowałem
/sbin/route add -host nasza-klasa.pl reject ale można się dalej dostać na naszą klasę. Dopiero:
/sbin/route add -host nasza-klasa.pl reject
/sbin/route add -host www.nasza-klasa.pl reject ją blokuje skutecznie.

Jeśli chodzi o shorewall'a to są tam dwa przydatne do tego pliki, i do nich można wrzucić te linijki:
/etc/shorewall/started
/etc/shorewall/stopped
#kochana nasza-klasa.pl i inne scierwa
/sbin/route del -host nasza-klasa.pl reject
/sbin/route del -host rapidshare.com reject
/sbin/route del -host rapidshare.de reject
/sbin/route del -host megaupload.com reject
/sbin/route del -host megadownload.com reject
/sbin/route del -host www.nasza-klasa.pl reject
/sbin/route del -host www.rapidshare.com reject
/sbin/route del -host www.rapidshare.de reject
/sbin/route del -host www.megaupload.com reject
/sbin/route del -host www.megadownload.com reject Shorewall sobie to ładnie aplikuje przy starcie.

ps. fnmirk - bo na pewno tu trafisz - jak zamiast słowa "Kod:" które pojawia się nad kodem wpisać coś innego? (jak w tym przypadku chciałem wpisać /etc/shorewall/started)

TooMeeK - 24-09-2009 18:21
eh, co ja się będe cackać.. wrzuciłem te nazwy DNS w regułkę, którą podałem w poprzednim poście, bo przecież IPTABLES i tak załapie jakie hosty blokować, a gdybym miał je wpisywać ręcznie to idzie się pochlastać...:
serwer:/# resolveip megaupload.com
IP address of megaupload.com is 69.5.88.224
IP address of megaupload.com is 69.5.88.225
IP address of megaupload.com is 69.5.88.226
IP address of megaupload.com is 69.5.88.227
IP address of megaupload.com is 69.5.88.228
IP address of megaupload.com is 69.5.88.229
IP address of megaupload.com is 69.5.88.230
IP address of megaupload.com is 69.5.88.231
serwer:/# resolveip rapidshare.com
IP address of rapidshare.com is 195.122.131.7
IP address of rapidshare.com is 195.122.131.8
IP address of rapidshare.com is 195.122.131.9
IP address of rapidshare.com is 195.122.131.10
IP address of rapidshare.com is 195.122.131.11
IP address of rapidshare.com is 195.122.131.12
IP address of rapidshare.com is 195.122.131.13
IP address of rapidshare.com is 195.122.131.14
IP address of rapidshare.com is 195.122.131.15
IP address of rapidshare.com is 195.122.131.16
IP address of rapidshare.com is 195.122.131.17
IP address of rapidshare.com is 195.122.131.18
IP address of rapidshare.com is 195.122.131.19
IP address of rapidshare.com is 195.122.131.20
IP address of rapidshare.com is 195.122.131.21
IP address of rapidshare.com is 195.122.131.22
IP address of rapidshare.com is 195.122.131.2
IP address of rapidshare.com is 195.122.131.3
IP address of rapidshare.com is 195.122.131.4
IP address of rapidshare.com is 195.122.131.5
IP address of rapidshare.com is 195.122.131.6

k0nficjusz - 30-09-2009 11:20
Ja w IPtables dodałem coś takiego

$IPT -t nat -A PREROUTING -s $SZKODNIKI -p tcp -d nasza-klasa.pl -j DROP Gdzie oczywiście "SZKODNIKI" to grupa komputerów z adresem DHCP