[iptables] Logging en blocken sites

[Verwijderd]

Om iptables wat beter te leren kennen ben ik wat aan't experimenteren.

Situatie: paar (Windows) pc's achter een Debian server, de server werkt als gateway naar het internet via iptables/masquerading

Ik probeer nu bepaalde sites te blocken voor een bepaalde pc in het lokale netwerk. Bv met de regel

code:

iptables -A INPUT -s 192.168.0.23 -d www.vuurwerk.nl --dport 80 -m --state NEW -j DROP

wil ik ervoor zorgen dat de host 192.168.0.23 niet www.vuurwerk.nl kan bezoeken. Deze regel werkt echter nog niet, ook niet als ik ipv www.vuurwerk.nl het IP daarvan invul of INPUT vervang door FORWARD. Ik weet ook niet zeker of verkeer via de gateway nou INPUT of FORWARD verkeer is.

Toen probeerde ik eerst maar es te loggen wanneer de pc een website opvraagt (uitgaande van poort 80).

code:

iptables -A INPUT -s 192.168.0.23 -p tcp --dport http -j LOG --log-prefix "LOGGING TESTEN poort 80:" --log-level notice

Dit werkt ook niet, d.w.z. in m'n log zie ik niet deze log message als ik met host 192.168.0.23 een website bezoek. Het loggen uberhaupt werkt wel, met bv.

code:

iptables -A INPUT -s 192.168.0.23 -j LOG --log-prefix "LOGGING TESTEN" --log-level notice

Op Google zoeken naar 'blocking websites using iptables' o.i.d. leverde geen resultaat op, ook volgens de iptables man lijken me deze regels correct, wat doe ik fout?

[blaataaps]

Het moet in de FORWARD chain , waar je waarschijnlijk de fout in gaat, is met de -A, met -A append je de regel helemaal onderaan, als je ergens bovenin al een regel hebt die verkeer toestaat waar dit verkeer ook onder valt, zullen de pakketjes de nieuwe regel niet bereiken, probeer daarom eens of -I (insert) wel werkt, dan komt de nieuwe regel bovenaan.

[Kippenijzer]

daarnaast block je geen sites met iptables, dat is dom. Waarom vraag je? Nou, er zijn meer sites dan ip adressen, zou dat misschien ienhouden dat op sommige IP's meer dan 1 site draait. Nou, je zou het snel denken.
Verdiep je eens in transparante proxies als je sites wilt blocken, en doe jezelf een plezier en probeer dit niet met iptables, die is daar gewoonweg niet voor bedoeld.

Hint : Squid