iptables.Запретить dns-запрос с частью имени домена?

[fergios]

iptables.Запретить dns-запрос с частью имени домена?

Например, делается запрос на google.com.
Нужно отсечь все запросы содержащие goog.
Тем самым drop'ая google,googo,googpo,googa,googt , google-analitics и т.д.

[rm_]

Запретите любые DNS-запросы во внешний мир с клиентских машин, поставьте свой DNS-сервер, и уже на нём организуйте какие угодно фильтры и замены.

[neol]

Для общего развития вариант с использованием iptables модуля string
iptables -A OUTPUT -p udp --dport 53 -m string --from 41 --algo kmp --string goog -j REJECT

[rm_]

iptables -A OUTPUT -p udp --dport 53 -m string --from 41 --algo kmp --string goog -j REJECT

$ host lifehacker.com
lifehacker.com has address 69.60.7.199
lifehacker.com mail is handled by 10 aspmx2.googlemail.com.
lifehacker.com mail is handled by 1 aspmx.l.google.com.
lifehacker.com mail is handled by 5 alt1.aspmx.l.google.com.
lifehacker.com mail is handled by 5 alt2.aspmx.l.google.com.

Этот ответ целиком не дойдёт, или только почтовые записи?

[fergios]

iptables -A OUTPUT -p udp --dport 53 -m string --from 41 --algo kmp --string goog -j REJECT

$ host lifehacker.com
lifehacker.com has address 69.60.7.199
lifehacker.com mail is handled by 10 aspmx2.googlemail.com.
lifehacker.com mail is handled by 1 aspmx.l.google.com.
lifehacker.com mail is handled by 5 alt1.aspmx.l.google.com.
lifehacker.com mail is handled by 5 alt2.aspmx.l.google.com.

Этот ответ целиком не дойдёт, или только почтовые записи?

к СОЖАЛЕНИЮ целиком.

Модуль string блоикурет весь запрос содержащий блокируемую запись.
Т.е. вместо блокирования блокируемой части, он блокирует ВЕСЬ запрос.

[neol]

Этот ответ целиком не дойдёт, или только почтовые записи?

iptables может блокировать пакеты или не блокировать. Все остальное - не его дело. В том числе вырезание неугодных записей.

[fergios]

Этот ответ целиком не дойдёт, или только почтовые записи?

iptables может блокировать пакеты или не блокировать. Все остальное - не его дело. В том числе вырезание неугодных записей.

Да уж понятно, нужно squid))

[arkhnchul]

Да уж понятно, нужно squid))

для днс, ага. Сквид.

[SLEDopit]

iptables.Запретить dns-запрос с частью имени домена?

Может проще сразу squid поставить и блэк-листы там настроить, чем с днсами извращаться?

[rm_]

Этот ответ целиком не дойдёт, или только почтовые записи?

iptables может блокировать пакеты или не блокировать. Все остальное - не его дело. В том числе вырезание неугодных записей.

Если совсем нужно всё расписывать, вопрос был в том, шлются ли записи о почте вдогонку отдельными пакетами, или всё компактно и вперемешку.
Конечно и так понятно, что DNS-ответы фильтровать iptables'ом - не вариант.