подскажите как с помощью iptables можно заблокировать весь исходящий трафик кроме 2х доменов (google.com, mail.ru)?
1 ответ
Задача которую Вы пытаетесь решить не совсем правильная. С айпитаблес лучше работать с входящим трафиком, а блокировать сайты удобнее на прокси и домены на днс сервере.
Но одно из решений будет таким:
ipset create allow hash:ip
for ip in $(dig +short mail.ru google.com)
do
ipset add allow $ip
done
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -m set --match-set allow dst -j ACCEPT
iptables -A OUTPUT -p tcp -j REJECT
iptables -A OUTPUT -p udp -j DROP
iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -m set --match-set allow dst -j ACCEPT
iptables -A FORWARD -p tcp -j REJECT
iptables -A FORWARD -p udp -j DROP
Добавил к разрешенному трафику днс, ведь без днс не будет и доменов.