Рвется VPN соединение при правиле iptables reject

[BurnRam]

Есть такое дело. закрываю развлекательные сайты сотрудникам средствами iptables строкой


iptables -A OUTPUT -s 192.168.9.14 -m string --string "vkontakte" --algo kmp --to 65535 -j REJECT
iptables -A OUTPUT -d 192.168.9.14 -m string --string "vkontakte" --algo kmp --to 65535 -j REJECT

Но при этом рвется VPN соединение(pptp). Как сделать что бы не рвало?

P..s. пытался FORWARD - не блокирует сайты

[Alex2ndr]

Ммм... А описать сеть можно? У вас там прокси нету? Как устроен выход в интернет, где этот самый тунель, который рвется и тд.

Еще момент: вы говорите, что в FORWARD не работает, а в OUTPUT это работает?

[BurnRam]

Прокси нет, поднимать - начальство не хочет, гейт - довольно старенький комп, от него внешка к провайдеру
На нем подняты DHCP и iptables, после правильного пароля получают от DHCP IP из диапазонов 192.168.3.x 192.168.4.x (pptp) после этого
VPN клиенты уходят через внешний_IP_прова и натятся
-A POSTROUTING -s 192.168.3.0/255.255.255.0 -j SNAT --to-source внешний_IP_прова
-A POSTROUTING -s 192.168.4.0/255.255.255.0 -j SNAT --to-source внешний_IP_прова

про forward подробнее в соседней теме

iptables и -m string --string "vkontakte" --algo kmp, Нужен совет знающих людей.

есть еще пару важных моментов:

Код: Выделить всё

#Форварды для внутренних сетей [192.168.9.х в 192.168.10.х]
-A FORWARD -s 192.168.9.0/255.255.255.0 -d 192.168.10.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.10.0/255.255.255.0 -d 192.168.9.0/255.255.255.0 -j ACCEPT
#Форварды из внутренних сетей [192.168.9.х в 10.х.х.х]
-A FORWARD -s 10.0.0.0/255.0.0.0 -d 192.168.9.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.9.0/255.255.255.0 -d 10.0.0.0/255.0.0.0 -j ACCEPT
#Форварды из внутренних сетей [192.168.10.х в 10.х.х.х]
-A FORWARD -s 10.0.0.0/255.0.0.0 -d 192.168.10.0/255.255.255.0 -j ACCEPT
-A FORWARD -s 192.168.10.0/255.255.255.0 -d 10.0.0.0/255.0.0.0 -j ACCEPT
#Дроп любых других форвардов
-A FORWARD -j REJECT --reject-with icmp-port-unreachable

и на проверку MAC-адресов

Код: Выделить всё

#Все что приходит по внутренним интерфейсам отправляеться в цепочку Lanmac
-A INPUT -s 192.168.10.0/255.255.255.0 -j lanmac
-A INPUT -s 192.168.9.0/255.255.255.0 -j ACCEPT