Âîïðîñû ïî iptables è ìîäóëÿì ÿäðà

[Toxa79]

Äîáðûé äåíü.
Ñëîìàë ãîëîâó - íóæíà ïîìîùü.

Íåîáõîäèìî çàêðûòü ðåáåíêó âûõîä ñ ïëàíøåòà íà youtube è play.google. Òîëüêî ñ ýòîãî óñòðîéñòâà, ïîýòîìó øòàòíûé wl500gl URL-ôèëüòð (1.9.2.7-rtn-r4923) íå ðàáîòàåò.
Íàøåë îïèñàíèå ôóíêöèîíàëüíîñòü netfilter/string. Ïðàâèëî íå äîáàâëÿåòñÿ:
iptables -A FORWARD -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
No chain/target/match by that name

Ïîðûëñà ïî ôîðóìàì, îòêîïàë, ÷òî â ÿäðå íå õâàòàåò ìîäóëåé:
xt_string.ko
ts_lmp.ko

Ñêà÷àë äîï.ìîäóëè ñ https://code.google.com/p/wl500g/downloads/list.
âñòàâèë usb-flash íàêîïèòåëü. Âñå òóäà ñêà÷íóë. Ïåðåä òåì êàê ïðàâèòü post-firewall ðåøèë ïîýêñïåðèìåíòèðîâàòü.
Äîáàâèë ìîäóëè (insmod) ïðÿìî èç /tmp/mnt/disca_1/. Âðîäå áû âñå îê:

[admin@WL-001BFC918E51 disca_1]$ lsmod|egrep "xt|ts"
xt_string 880 1
ts_kmp 1520 1

iptables -A FORWARD -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
îòðàáàòûâàåò áåç îøèáîê

íîâûé ìàðøðóò ïîÿâëÿåòñÿ â òàáëèöå ìàðøðóòîâ
[admin@WL-001BFC918E51 disca_1]$ iptables -L FORWARD |grep "vkon"
DROP all -- anywhere anywhere STRING match "vkontakte.ru" ALGO name kmp TO 65535
íî íè÷åãî íå ðàáîòàåò!!!

ÿ äàæå ïûòàëñÿ çàïèõíóòü ïðàâèëî ïîä ïåðâûì íîìåðîì è äîáàâèòü îïðåäåëåííûé source-ip
iptables -I FORWARD 1 -s 192.168.1.10 -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
îïÿòü áåçðåçóëüòàòíî.

ïðè ýòîì òàêîå ïðàâèëî
iptables -I FORWARD 1 -s 192.168.1.10 -j DROP
îòðàáàòûâàåò íîðìàëüíî (ñ óêàçàííîãî IP-àäðåñà íèêóäà äîñòó÷àòüñÿ íåëüçÿ)

â ÷åì ìîæåò áûòü äåëî? ÿ ïðàâèëüíî ïîíèìàþ, òòî åñëè ìîäóëü ÿäðà ïîäãðóçèëñÿ áåç îøèáîê, òî ñ íèì âñå â ïîðÿäêå? Òîãäà â ÷åì ìîÿ îøèáêà? Êàêàÿ-òî ìèñòèêà...

Ñïàñèáî

[ConstAntz]

Äîáðûé äåíü.
Ñëîìàë ãîëîâó - íóæíà ïîìîùü.

Íåîáõîäèìî çàêðûòü ðåáåíêó âûõîä ñ ïëàíøåòà íà youtube è play.google.
...

ÿ äàæå ïûòàëñÿ çàïèõíóòü ïðàâèëî ïîä ïåðâûì íîìåðîì è äîáàâèòü îïðåäåëåííûé source-ip

iptables -I FORWARD 1 -s 192.168.1.10 -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP

îïÿòü áåçðåçóëüòàòíî.

...

â ÷åì ìîæåò áûòü äåëî? ÿ ïðàâèëüíî ïîíèìàþ, ...
Òîãäà â ÷åì ìîÿ îøèáêà?

Ñïàñèáî

Íó òàê è çàêðûâàéòå åìó äîñòóï íà youtube è play.google,
vkontakte.ru òóò ïðè ÷åì? êñòàòè îíè ïåðååõàëè íà vk.com ))

[Toxa79]

Íó òàê è çàêðûâàéòå åìó äîñòóï íà youtube è play.google,
vkontakte.ru òóò ïðè ÷åì? êñòàòè îíè ïåðååõàëè íà vk.com ))

vkontakte - ýòî ãîòîâûé ïðèìåð (http://sudouser.com/blokirovka-nezhe...-iptables.html). Ìíå òàê êîïèïàñòèòü ïðîùå áûëî. Äëÿ ýêñïåðèìåíòà. Íî ýêñïåðèìåíò (ïîêà) íå âûõîäèò. Ó ìåíÿ óæå ðóêè îïóñòèëèñü.
ðåäèðåêò íà vk.com â äàííîì ñëó÷àå íåïðèíöèïèàëåí. Îæèäàåòñÿ, ÷òî áóäåò "ðåçàòüñÿ" http/get ñîäåðæàùèé "vkontakte". Äî ðåäèðåêòà íà vk.com äîõîäèòü íå äîëæíî.

[Toxa79]

Эврика!
в случае с NAT работает вот это:
iptables -t mangle -I PREROUTING 1 -s 192.168.1.189 -m string --string "yandex" --algo kmp --to 65535 -j DROP

[Toxa79]

Подстава с HTTPS (с использованием которого работают все сервисы гугл). Здесь, как выяснилось, использование string бесполезно. Контент весь шифрованный. Так шо будем думать дальше...

[don-pedro]

Ïîäñòàâà ñ HTTPS (ñ èñïîëüçîâàíèåì êîòîðîãî ðàáîòàþò âñå ñåðâèñû ãóãë). Çäåñü, êàê âûÿñíèëîñü, èñïîëüçîâàíèå string áåñïîëåçíî. Êîíòåíò âåñü øèôðîâàííûé. Òàê øî áóäåì äóìàòü äàëüøå...

Âàðèàíò: ïîäíÿòü íà ðîóòåðå ïðîêñè, ñðåäñòâàìè iptables çàïðåòèòü ïîäøåôíîìó äåâàéñó âåñòü òðàôèê, êðîìå ïðîêñè, äîñòóïîì ê ñàéòàì óïðàâëÿòü ñðåäñòâàìè ïðîêñè.

[Toxa79]

Âàðèàíò: ïîäíÿòü íà ðîóòåðå ïðîêñè, ñðåäñòâàìè iptables çàïðåòèòü ïîäøåôíîìó äåâàéñó âåñòü òðàôèê, êðîìå ïðîêñè, äîñòóïîì ê ñàéòàì óïðàâëÿòü ñðåäñòâàìè ïðîêñè.

ìîæåòå ïîñîâåòîâàòü ãîäíûé âàðèàíò äëÿ Wl-500gp?

åùå ðàññìàòðèâàþ âàðèàíò ñ dns-ñåðâåðîì. Åñëè åñòü òàêèå, êîòîðûå ìîãóò âîçâðàùàòü ðàçíûå àäðåñà â çàâèñèìîñòè îò ip-èñòî÷íèêà (à åñëè ïîääåðæèâàåò ðàçíå ïðàâèëà äëÿ ðàçíîãî âðåìåíè ñóòîê, òî âîîáùå îòëè÷íî), òî òàêîå òîæå ñãîäèòñÿ, ÿ äóìàþ. ìîæåòå ÷òî-íèáóäü ïîñîâåòîâàòü?

[MercuryV]

Toxa79, ïîñìîòðèòå òåìó ïî ôèëüòðàöèè êîíòåíòà

[Toxa79]

âñåì ïðèâåò.
ïûòàþñü íà÷àòü ñ ïðîñòåéøåé ôèëüðàöèè ïàêåòîâ ñ ïîìîùüþ iptables -m string è ñðàçó êîñÿêè.
çàâåë post-boot.

#!/bin/sh

KVER=$(/bin/uname -r)
DIRM=/opt/lib/modules/${KVER}
FVER=$(cat /.version)
case "${KVER}" in 2.6*)
CPUV=$(sed -n '/.*MIPS.*74K.*/p' /proc/cpuinfo)
if [ -n "${CPUV}" ]; then MVER=-MIPS32r2; else MVER=-MIPS32r1; fi
;;esac
MDIR=${DIRM}_${FVER##*-rtn-}

iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -p tcp --dport https -m time --timestart 7:00 --timestop 23:00 -j DROP

cd ${MDIR}/kernel/net/netfilter
insmod xt_string.ko

cd ${MDIR}/kernel/lib
insmod ts_kmp.ko

iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -m string --string "video.yandex" --algo kmp --to 65535 -m time --timestart 7:00 --timestop 23:00 -j DROP



à ts_kmp - íå ïîäãðóæàåòñÿ! Ïðè ýòîì åñëè ñàìîìó ðó÷êàìè âûïîëíèòü (èç ïîä admin) post-boot, òî âñå îòëè÷íî ïðîãðóæàåòñÿ.  ÷åì êîñÿê?

[don-pedro]

#!/bin/sh

...

KVER=$(/bin/uname -r)
DIRM=/opt/lib/modules/${KVER}


...

à ts_kmp - íå ïîäãðóæàåòñÿ! Ïðè ýòîì åñëè ñàìîìó ðó÷êàìè âûïîëíèòü (èç ïîä admin) post-boot, òî âñå îòëè÷íî ïðîãðóæàåòñÿ.  ÷åì êîñÿê?

1) ãäå ëåæèò post-boot?
2) ïî÷åìó ìîäóëè â /opt/lib/modules? Ó ìåíÿ â /lib/modules
3) ñóùåñòâóåò ëè íà ìîìåíò âûïîëíåíèÿ ñêðèïòà êàòàëîã /opt/lib ? Âåäü â /opt ìîíòèðóåòñÿ âíåøíèé äèñê. Åñëè â ñêðèïòå çàäåéñòâîâàí âíåøíèé äèñê, òî ïðàâèëüíåé, íàâåðíî, âñ¸ ýòî â post-mount çàïèõíóòü.

[Toxa79]

1) ãäå ëåæèò post-boot?
2) ïî÷åìó ìîäóëè â /opt/lib/modules? Ó ìåíÿ â /lib/modules
3) ñóùåñòâóåò ëè íà ìîìåíò âûïîëíåíèÿ ñêðèïòà êàòàëîã /opt/lib ? Âåäü â /opt ìîíòèðóåòñÿ âíåøíèé äèñê. Åñëè â ñêðèïòå çàäåéñòâîâàí âíåøíèé äèñê, òî ïðàâèëüíåé, íàâåðíî, âñ¸ ýòî â post-mount çàïèõíóòü.

ïîõîæå, äåéñòâèòåëüíî /opt íå ïîäìîíòèðîâàëñÿ. îêàçûâàåòñÿ, xt_string.ko óñïåøíî ïîäãðóæàåòñÿ èç /lib/modules... à êàê çàëèòü íîâûå ìîäóëè â /lib/modules? ó ìåíÿ ýòî read-only file-system

[ConstAntz]

#!/bin/sh

KVER=$(/bin/uname -r)
DIRM=/opt/lib/modules/${KVER}
FVER=$(cat /.version)
case "${KVER}" in 2.6*)
  CPUV=$(sed -n '/.*MIPS.*74K.*/p' /proc/cpuinfo)
  if [ -n "${CPUV}" ]; then MVER=-MIPS32r2; else MVER=-MIPS32r1; fi
;;esac
MDIR=${DIRM}_${FVER##*-rtn-}

iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -p tcp --dport https -m time --timestart 7:00 --timestop 23:00 -j DROP

cd ${MDIR}/kernel/net/netfilter
insmod xt_string.ko

cd ${MDIR}/kernel/lib
insmod ts_kmp.ko

iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -m string --string "video.yandex" --algo kmp --to 65535 -m time --timestart 7:00 --timestop 23:00 -j DROP

à ts_kmp - íå ïîäãðóæàåòñÿ! Ïðè ýòîì åñëè ñàìîìó ðó÷êàìè âûïîëíèòü (èç ïîä admin) post-boot, òî âñå îòëè÷íî ïðîãðóæàåòñÿ.  ÷åì êîñÿê?

Íå çíàþ çà÷åì àâòîðó ñêðèïòà ïîíàäîáèëàñü ïåðåìåííàÿ MDIR. Òàì, ãäå cd ${MDIR}/, çàìåíèòå íà cd ${DIRM}/, à ìîäóëè îñòàâüòå â /opt/lib/èòä. Åñòåñòâåííî, ïðè îòñóòñòâèè /opt, ñêðèïò òåðÿåò ñìûñë.

[AndreyPopov]

íà ïðîøèâêå 5110 ïîéìàë êàêèå-òî íåïîíÿòíûå ãëþêè

1. mount.cifs äî ýòîãî ðàáîòàâøèé áåç ïðîáëåì ìíîãî ëåò íà÷àë âûçûâàòü Segmentation fault è ñîîòâåòñòâåííî ïåðåñòàëè ìîíòèðîâàòüñÿ øàðû

2. ðîóòåð íå ðåàãèðóåò íà êîìàíäó reboot íè â êîíñîëå, íè èç âýá ìîðäû

[Vampik]

Ñêîðåå âñåãî îøèáêà ãäå-òî ó âàñ. Åñëè ó âàñ ôëåøêà èëè æåñòêèé äèñê ñ ïðîãðàììàìè èç optware èëè entware - îòêëþ÷èòå èõ.
Óæ ÷òî-÷òî, à reboot ñëîìàòüñÿ íå ìîã.

[lly]

íà ïðîøèâêå 5110 ïîéìàë êàêèå-òî íåïîíÿòíûå ãëþêè

Ìîãó òîëüêî äîáàâèòü â 1001 ðàç: áåç èíôîðìàöèè íà êàêîì áëèæàéøåì ïðåäûäóùåì áèëäå áûëî íîðìàëüíî, ýòî áåñïîëåçíàÿ èíôîðìàöèÿ.