Iptables: фильтрация по доменным именам

[Mixer[MsK]]

Здравствуйте. Хочется странного: есть некий домен - предположим test.ru . У него есть поддомены для клиентских машин - например user1.test.ru , user2.test.ru, user3.test.ru . Причем клиентские машины находятся в разных сетях. Хочется сделать правило для iptables , дабы оно распространялось на все машины, адреса которых резольвятся как поддомены test.ru. В манах ничего похожего не нашел.

[MIX2000]

Вроде, iptables не работает на уровне доменных имен. Для отдельных случаев может подойти прозрачный прокси, например SQUID. Еще можно с портами баловаться, или с VPN но это уже, другое дело.

[butch]

как понимаю, заранее неизвестно сколько там будет поддоменов и какие у них будут имена?
наверное нужно курить в сторону разрешения всех поддоменов указанного домена, после чего делать правила для списка полученных хостов.
если заранее известно какие будут домены 3его уровня - то все проще =)

[MIX2000]

как понимаю, заранее неизвестно сколько там будет поддоменов и какие у них будут имена?
наверное нужно курить в сторону разрешения всех поддоменов указанного домена, после чего делать правила для списка полученных хостов.

Может получится так, что в подсетях этих хостов окажутся хосты не имеющие отношения к домену, на них правила iptables тоже подействуют.

[butch]

в подсетях этих хостов окажутся хосты не имеющие отношения к домену, на них правила iptables тоже подействуют.

это уж как правила будут написаны. мы ведь речь о хостах ведем, причем тут подсети? =)

[MIX2000]

это уж как правила будут написаны. мы ведь речь о хостах ведем, причем тут подсети? =)

Ну, так, если через iptables правила писать. Не помню, что бы в нем можно было прописывать правила для доменов.
Впрочем если можно, тогда, я не понимаю какие могут быть проблемы: просто пишите правила для домена 2го уровня, по идее, они должны распространятся и на домены более высоких уровней, относящихся к этому домену.

[butch]

MIX2000, вообще в руководстве иптэблс не советуют применять доменные имена для правил.
лично я делаю сначала резолвинг имен, после чего в правила подставляю получившиеся адреса хостов.
такие правила можно обновлять переодически.
я в общем то говорил об этом.

[pelmen]

На хостинге (фактически на 1 ип адресе) могут быть разные сайты, и ты сразу на все режешь доступ. Для меня - это не решение

[danger08]

На хостинге (фактически на 1 ип адресе) могут быть разные сайты, и ты сразу на все режешь доступ. Для меня - это не решение

В iptables нет изящного решения этой проблемы - уровня доменных имен. Оно просто не нужно. Его не для этого делали.

Хотите фильтровать доступ к виртуальным HTTP-хостам - заворачивайте HTTP-трафик на squid, и фильтруйте там.
Для всех остальных протоколов (не-HTTP и иже с ним) - доменные имена не передаются и учитывать их смысла не имеет. Доступ идет по IP-адресу, отресольвенному из запрошенного доменного имени, во всех протоколах (роутер даже не "знает", запросили вы host1.ru или host2.ru, если у них одинаковый IP-адрес).

[expdot]

можно попробовать поиграться с классификатором string

Код: Выделить всё

-m string --string "example"

вместо example подставить требуемое доменное имя

[Mixer[MsK]]

Вроде, iptables не работает на уровне доменных имен. Для отдельных случаев может подойти прозрачный прокси, например SQUID. Еще можно с портами баловаться, или с VPN но это уже, другое дело.

Требуется дать доступ к некоему порту на одной машине для других. Решение на уровне сквида видется гемороем, если честно.

это уж как правила будут написаны. мы ведь речь о хостах ведем, причем тут подсети? =)

Ну, так, если через iptables правила писать. Не помню, что бы в нем можно было прописывать правила для доменов.
Впрочем если можно, тогда, я не понимаю какие могут быть проблемы: просто пишите правила для домена 2го уровня, по идее, они должны распространятся и на домены более высоких уровней, относящихся к этому домену.

Эм. Мне казалось, что резольвит доменное имя и использует в правиле полученный IP-адрес, нет?

можно попробовать поиграться с классификатором string

Код: Выделить всё

-m string --string "example"

вместо example подставить требуемое доменное имя

Попробую, спасибо.

[danger08]

Вроде, iptables не работает на уровне доменных имен. Для отдельных случаев может подойти прозрачный прокси, например SQUID. Еще можно с портами баловаться, или с VPN но это уже, другое дело.

Требуется дать доступ к некоему порту на одной машине для других. Решение на уровне сквида видется гемороем, если честно.

Ну так вот, и разрешайте правилом (указывайте нужный IP и порт в правиле).
Доменные имена придуманы исключительно для удобства людей, доступ везде ведется по IP.

Эм. Мне казалось, что резольвит доменное имя и использует в правиле полученный IP-адрес, нет?

Может ресольвить, да. Но что мешает вам самому отресольвить имя, и подставить полученный IP в правило?

можно попробовать поиграться с классификатором string

Код: Выделить всё

-m string --string "example"

вместо example подставить требуемое доменное имя

Попробую, спасибо.

Вот как раз-таки это решение видится мне геморойным (неизвестно, где косяки вылезут, с использованием шаблона "example").

[expdot]

Вот как раз-таки это решение видится мне геморойным (неизвестно, где косяки вылезут, с использованием шаблона "example").

да, конечно, но можно комбинировать и со статусом, например только для пакетов со статусом NEW, чтобы меньше проблем возникало

[danger08]

Вот как раз-таки это решение видится мне геморойным (неизвестно, где косяки вылезут, с использованием шаблона "example").

да, конечно, но можно комбинировать и со статусом, например только для пакетов со статусом NEW, чтобы меньше проблем возникало

Ничего подобного.
Пакеты, содержащие строку "example" в запросе типа:

Код: Выделить всё

GET / HTTP/1.0
Host: example.com

с большой долей вероятности УЖЕ не будут иметь флага NEW (на этом этапе соединение справедливо считается установившимся, и флаг NEW сброшен).
К моменту передачи пакетов с HTTP-заголовками, состояние соединения будет ESTABLISHED.