0

подскажите как с помощью iptables можно заблокировать весь исходящий трафик кроме 2х доменов (google.com, mail.ru)?

2
  • Блокировать надо ответы, а не запросы.
    – 0andriy
    5 сен 2021 в 8:12
  • @0andriy не всегда: 1) частая практика с эстаблишед в ацепт 2) нужно скрыть сетевую активность
    – eri
    5 сен 2021 в 9:46

1 ответ 1

3

Задача которую Вы пытаетесь решить не совсем правильная. С айпитаблес лучше работать с входящим трафиком, а блокировать сайты удобнее на прокси и домены на днс сервере.

Но одно из решений будет таким:

ipset create allow hash:ip

for ip in $(dig +short mail.ru google.com)
do
ipset add allow $ip
done

iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -m set --match-set allow dst -j ACCEPT
iptables -A OUTPUT -p tcp -j REJECT
iptables -A OUTPUT -p udp -j DROP

iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -m set --match-set allow dst -j ACCEPT
iptables -A FORWARD -p tcp -j REJECT
iptables -A FORWARD -p udp -j DROP

Добавил к разрешенному трафику днс, ведь без днс не будет и доменов.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.