Need help - IPtables

[Максим Ахмедов]

Сообщение от Timur Rasulov

iptables -t nat -A POSTROUTING -o eth3 -s 192.168.1.20 -d [целевой хост] -j MASQUERADE

примного благодарен, а можно ли там прописывать доменные имена хостов?

[Dilshod Bobokulov]

Сообщение от Alexander Abgaryan

Хы, кто-то ещё помнит NiTraf =)
Кстати в бета версии нитрафа я как раз использую связку улог+иптаблес - штука хорошая.

Александр, а на саб.интерфейсах можно слушать трафик для подсчета или все таки нужно указать физический интерфейс?

[Dilshod Bobokulov]

Сообщение от Styler

примного благодарен, а можно ли там прописывать доменные имена хостов?

если для просмотра и анализа, можно так:

iptables -t nat -A POSTROUTING -o eth3 -s 192.168.1.20 -d [целевой хост] -m comment --comment "domennoe_imya_hosta" -j MASQUERADE

[Максим Ахмедов]

первый вариант (работает, но тут только ip)
iptables -t nat -A POSTROUTING -o eth3 -s 192.168.1.20 -d 213.180.204.8 -j MASQUERADE
второй вариант (работает, но он полагаю не целесообразен, доступ возможен только к 213.180.204.8)
iptables -t nat -A POSTROUTING -o eth3 -s 192.168.1.20 -d 213.180.204.8 -m comment --comment "ya.ru" -j MASQUERADE
третий вариант (не работает)
iptables -t nat -A POSTROUTING -o eth3 -s 192.168.1.20 -d -m comment --comment "ya.ru" -j MASQUERADE

с одним доменом ассоциировано несколько ip адресов как например ya.ru, так как же разрешить доступ только по доменному имени

[German Stimban]

Сообщение от Styler

с одним доменом ассоциировано несколько ip адресов как например ya.ru, так как же разрешить доступ только по доменному имени

Поставь транспарентно squid и не мучайся

[Dilshod Bobokulov]

Сообщение от Styler

с одним доменом ассоциировано несколько ip адресов как например ya.ru, так как же разрешить доступ только по доменному имени

Можно написать bash скрипт, который использует 2 внешних файла, в 1ом список IP адресов из локальной сети, 2ом список доменов для которых нужен доступ.

[Максим Ахмедов]

Поставь транспарентно squid и не мучайся

к сожалению этот вариант не устраивает спасибо Герман

Можно написать bash скрипт, который использует 2 внешних файла, в 1ом список IP адресов из локальной сети, 2ом список доменов для которых нужен доступ.

если вас не затруднит, с этого место попрошу вас по подробнее

[German Stimban]

Styler, ОК. Корпоративный DNS-сервер есть?

[Alexander Abgaryan]

Сообщение от Dilshod Bobokulov

Александр, а на саб.интерфейсах можно слушать трафик для подсчета или все таки нужно указать физический интерфейс?

Я уже слабо помню как она работает, но вроде в настройках net-acct можно было указать интерфейсы для прослушивания. Но вообще я советую заюзать связку ulogd-mysql + iptables + самописная морда на пхп.

[Alexander Abgaryan]

Сообщение от Styler

примного благодарен, а можно ли там прописывать доменные имена хостов?

Можно, при применении правила имена резолвятся и добавляется столько правил, сколько ип адресов соответствует доменному имени.
Простой пример:
iptables -A INPUT -s mail.ru -j DROP

результат

DROP all -- 217.69.128.43 0.0.0.0/0
DROP all -- 217.69.128.44 0.0.0.0/0
DROP all -- 217.69.128.41 0.0.0.0/0
DROP all -- 217.69.128.42 0.0.0.0/0