Page 4 of 6 FirstFirst ... 23456 LastLast
Results 46 to 60 of 86

Thread: Вопросы по iptables и модулям ядра

  1. #46

    netfilter / modules - продвинутый url-filter для ребенка

    Добрый день.
    Сломал голову - нужна помощь.

    Необходимо закрыть ребенку выход с планшета на youtube и play.google. Только с этого устройства, поэтому штатный wl500gl URL-фильтр (1.9.2.7-rtn-r4923) не работает.
    Нашел описание функциональность netfilter/string. Правило не добавляется:
    iptables -A FORWARD -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
    No chain/target/match by that name

    Порылса по форумам, откопал, что в ядре не хватает модулей:
    xt_string.ko
    ts_lmp.ko

    Скачал доп.модули с https://code.google.com/p/wl500g/downloads/list.
    вставил usb-flash накопитель. Все туда скачнул. Перед тем как править post-firewall решил поэкспериментировать.
    Добавил модули (insmod) прямо из /tmp/mnt/disca_1/. Вроде бы все ок:

    [admin@WL-001BFC918E51 disca_1]$ lsmod|egrep "xt|ts"
    xt_string 880 1
    ts_kmp 1520 1

    iptables -A FORWARD -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
    отрабатывает без ошибок

    новый маршрут появляется в таблице маршрутов
    [admin@WL-001BFC918E51 disca_1]$ iptables -L FORWARD |grep "vkon"
    DROP all -- anywhere anywhere STRING match "vkontakte.ru" ALGO name kmp TO 65535
    но ничего не работает!!!

    я даже пытался запихнуть правило под первым номером и добавить определенный source-ip
    iptables -I FORWARD 1 -s 192.168.1.10 -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
    опять безрезультатно.

    при этом такое правило
    iptables -I FORWARD 1 -s 192.168.1.10 -j DROP
    отрабатывает нормально (с указанного IP-адреса никуда достучаться нельзя)

    в чем может быть дело? я правильно понимаю, тто если модуль ядра подгрузился без ошибок, то с ним все в порядке? Тогда в чем моя ошибка? Какая-то мистика...

    Спасибо

  2. #47
    Join Date
    Jan 2011
    Location
    Нижний Новгород
    Posts
    543
    Quote Originally Posted by Toxa79 View Post
    Добрый день.
    Сломал голову - нужна помощь.

    Необходимо закрыть ребенку выход с планшета на youtube и play.google.
    ...

    я даже пытался запихнуть правило под первым номером и добавить определенный source-ip
    Code:
    iptables -I FORWARD 1 -s 192.168.1.10 -m string --string "vkontakte.ru" --algo kmp --to 65535 -j DROP
    опять безрезультатно.

    ...

    в чем может быть дело? я правильно понимаю, ...
    Тогда в чем моя ошибка?

    Спасибо
    Ну так и закрывайте ему доступ на youtube и play.google,
    vkontakte.ru тут при чем? кстати они переехали на vk.com ))
    DIR-320 & RTN-r3297 from USB>r3478>r3539>r3722>r3815>r3877>r4051>r4990>r5163

  3. #48
    Quote Originally Posted by ConstAntz View Post
    Ну так и закрывайте ему доступ на youtube и play.google,
    vkontakte.ru тут при чем? кстати они переехали на vk.com ))

    vkontakte - это готовый пример (http://sudouser.com/blokirovka-nezhe...-iptables.html). Мне так копипастить проще было. Для эксперимента. Но эксперимент (пока) не выходит. У меня уже руки опустились.
    редирект на vk.com в данном случае непринципиален. Ожидается, что будет "резаться" http/get содержащий "vkontakte". До редиректа на vk.com доходить не должно.

  4. #49
    Эврика!
    в случае с NAT работает вот это:
    iptables -t mangle -I PREROUTING 1 -s 192.168.1.189 -m string --string "yandex" --algo kmp --to 65535 -j DROP

  5. #50
    Подстава с HTTPS (с использованием которого работают все сервисы гугл). Здесь, как выяснилось, использование string бесполезно. Контент весь шифрованный. Так шо будем думать дальше...

  6. #51
    Join Date
    Mar 2011
    Location
    Moscow
    Posts
    246
    Quote Originally Posted by Toxa79 View Post
    Подстава с HTTPS (с использованием которого работают все сервисы гугл). Здесь, как выяснилось, использование string бесполезно. Контент весь шифрованный. Так шо будем думать дальше...
    Вариант: поднять на роутере прокси, средствами iptables запретить подшефному девайсу весть трафик, кроме прокси, доступом к сайтам управлять средствами прокси.
    WL500gp 1.9.2.7-d-r2624, Optware.

  7. #52
    Quote Originally Posted by don-pedro View Post
    Вариант: поднять на роутере прокси, средствами iptables запретить подшефному девайсу весть трафик, кроме прокси, доступом к сайтам управлять средствами прокси.
    можете посоветовать годный вариант для Wl-500gp?

    еще рассматриваю вариант с dns-сервером. Если есть такие, которые могут возвращать разные адреса в зависимости от ip-источника (а если поддерживает разне правила для разного времени суток, то вообще отлично), то такое тоже сгодится, я думаю. можете что-нибудь посоветовать?

  8. #53
    Join Date
    Oct 2009
    Posts
    529
    Blog Entries
    1

  9. #54

    iptables -m strings

    всем привет.
    пытаюсь начать с простейшей фильрации пакетов с помощью iptables -m string и сразу косяки.
    завел post-boot.

    #!/bin/sh

    KVER=$(/bin/uname -r)
    DIRM=/opt/lib/modules/${KVER}
    FVER=$(cat /.version)
    case "${KVER}" in 2.6*)
    CPUV=$(sed -n '/.*MIPS.*74K.*/p' /proc/cpuinfo)
    if [ -n "${CPUV}" ]; then MVER=-MIPS32r2; else MVER=-MIPS32r1; fi
    ;;esac
    MDIR=${DIRM}_${FVER##*-rtn-}

    iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -p tcp --dport https -m time --timestart 7:00 --timestop 23:00 -j DROP

    cd ${MDIR}/kernel/net/netfilter
    insmod xt_string.ko

    cd ${MDIR}/kernel/lib
    insmod ts_kmp.ko

    iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -m string --string "video.yandex" --algo kmp --to 65535 -m time --timestart 7:00 --timestop 23:00 -j DROP



    а ts_kmp - не подгружается! При этом если самому ручками выполнить (из под admin) post-boot, то все отлично прогружается. В чем косяк?

  10. #55
    Join Date
    Mar 2011
    Location
    Moscow
    Posts
    246
    Quote Originally Posted by Toxa79 View Post

    #!/bin/sh

    ...

    KVER=$(/bin/uname -r)
    DIRM=/opt/lib/modules/${KVER}


    ...

    а ts_kmp - не подгружается! При этом если самому ручками выполнить (из под admin) post-boot, то все отлично прогружается. В чем косяк?
    1) где лежит post-boot?
    2) почему модули в /opt/lib/modules? У меня в /lib/modules
    3) существует ли на момент выполнения скрипта каталог /opt/lib ? Ведь в /opt монтируется внешний диск. Если в скрипте задействован внешний диск, то правильней, наверно, всё это в post-mount запихнуть.
    WL500gp 1.9.2.7-d-r2624, Optware.

  11. #56
    Quote Originally Posted by don-pedro View Post
    1) где лежит post-boot?
    2) почему модули в /opt/lib/modules? У меня в /lib/modules
    3) существует ли на момент выполнения скрипта каталог /opt/lib ? Ведь в /opt монтируется внешний диск. Если в скрипте задействован внешний диск, то правильней, наверно, всё это в post-mount запихнуть.
    похоже, действительно /opt не подмонтировался. оказывается, xt_string.ko успешно подгружается из /lib/modules... а как залить новые модули в /lib/modules? у меня это read-only file-system

  12. #57
    Join Date
    Jan 2011
    Location
    Нижний Новгород
    Posts
    543
    Quote Originally Posted by Toxa79 View Post
    Code:
    #!/bin/sh
    
    KVER=$(/bin/uname -r)
    DIRM=/opt/lib/modules/${KVER}
    FVER=$(cat /.version)
    case "${KVER}" in 2.6*)
      CPUV=$(sed -n '/.*MIPS.*74K.*/p' /proc/cpuinfo)
      if [ -n "${CPUV}" ]; then MVER=-MIPS32r2; else MVER=-MIPS32r1; fi
    ;;esac
    MDIR=${DIRM}_${FVER##*-rtn-}
    
    iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -p tcp --dport https -m time --timestart 7:00 --timestop 23:00 -j DROP
    
    cd ${MDIR}/kernel/net/netfilter
    insmod xt_string.ko
    
    cd ${MDIR}/kernel/lib
    insmod ts_kmp.ko
    
    iptables -t mangle -I PREROUTING 1 -s 192.168.1.10 -m string --string "video.yandex" --algo kmp --to 65535 -m time --timestart 7:00 --timestop 23:00 -j DROP
    а ts_kmp - не подгружается! При этом если самому ручками выполнить (из под admin) post-boot, то все отлично прогружается. В чем косяк?
    Не знаю зачем автору скрипта понадобилась переменная MDIR. Там, где cd ${MDIR}/, замените на cd ${DIRM}/, а модули оставьте в /opt/lib/итд. Естественно, при отсутствии /opt, скрипт теряет смысл.
    DIR-320 & RTN-r3297 from USB>r3478>r3539>r3722>r3815>r3877>r4051>r4990>r5163

  13. #58
    Join Date
    Feb 2008
    Location
    Dniepropetrovsk, Ukraine
    Posts
    1,527

    Question

    на прошивке 5110 поймал какие-то непонятные глюки

    1. mount.cifs до этого работавший без проблем много лет начал вызывать Segmentation fault и соответственно перестали монтироваться шары

    2. роутер не реагирует на команду reboot ни в консоле, ни из вэб морды

  14. #59
    Join Date
    Mar 2009
    Location
    Moscow
    Posts
    968
    Скорее всего ошибка где-то у вас. Если у вас флешка или жесткий диск с программами из optware или entware - отключите их.
    Уж что-что, а reboot сломаться не мог.
    D-Link DIR-320 A1/A2, DIR-620 C1, Netgear WNR3500L v1 v2

  15. #60
    Join Date
    Nov 2006
    Location
    Russia, Moscow
    Posts
    3,640
    Quote Originally Posted by AndreyPopov View Post
    на прошивке 5110 поймал какие-то непонятные глюки
    Могу только добавить в 1001 раз: без информации на каком ближайшем предыдущем билде было нормально, это бесполезная информация.

Page 4 of 6 FirstFirst ... 23456 LastLast

Similar Threads

  1. Настройка IPTables
    By _Denis_ in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 531
    Last Post: 11-11-2016, 06:57
  2. Как добавить модули ядра?
    By Boiler in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 57
    Last Post: 18-08-2016, 19:26
  3. Вопросы по работе IPTV (EMF & WMF)
    By theMIROn in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 119
    Last Post: 29-03-2015, 13:18
  4. Вопросы по перепрошивке dir-320
    By gweri in forum Russian Discussion - РУССКИЙ (RU)
    Replies: 344
    Last Post: 29-10-2011, 10:36

Tags for this Thread

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •