Iptables maluco.
1. Iptables maluco.
Sodomyzer
(usa Debian)
Enviado em 15/03/2012 - 11:09h
Olá pessoal, estou com um problema que ainda não consegui resolver e não acho em lugar algum a resposta, por isso gostaria da ajuda dos mais experientes no assunto.Bem, sou novo no ambiente Linux, logo não tenho muito conhecimento no assunto, trabalho em uma empresa de desenvolvimento de software(mas cuido da manutenção) e o pessoal estava matando serviço para acessar coisas indevidas, por isso meu patrão pediu para criar um Proxy e por fim na malandragem do pessoal, e assim eu o fiz.
Cerca de 5 meses atras fiz um Proxy com Squid autenticado e algumas regras no iptables, como sempre davam um jeitinho pra burlar o Squid eu fiz uns bloqueios por ip(do site) no iptables, porém algumas pessoas precisam ter acesso a esses sites, ou seja, libera uns e trava outros. Fiz isso, funcionou perfeitamente, porém por INCRÍVEL coincidencia quando mudou o horário de verão na segunda nada quiz funcionar, deu pane no iptables, não sei o que ocorreu, só sei que não funciona mais desde então.
Meu Squid funciona normal, mas preciso do iptables funcionando também.
Achei um script para bloqueio do facebook que eu utilizava:
FACEBOOK_ALLOW="192.168.1.12 192.168.1.14 192.168.1.111"
iptables -N FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 66.220.144.0-66.220.159.255 --dport 443 -j FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 69.63.176.0-69.63.191.255 --dport 443 -j FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 204.15.20.0-204.15.23.255 --dport 443 -j FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 66.220.144.0-66.220.159.255 --dport 80 -j FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 69.63.176.0-69.63.191.255 --dport 80 -j FACEBOOK
iptables -I FORWARD -m tcp -p tcp -m iprange --dst-range 204.15.20.0-204.15.23.255 --dport 80 -j FACEBOOK
## FACEBOOK ALLOW
for face in $FACEBOOK_ALLOW; do
iptables -A FACEBOOK -s $face -j ACCEPT
done
iptables -A FACEBOOK -j REJECT
Esse script funcionou legal, bloqueia geral menos os "FACEBOOK_ALLOW", então parou de funcionar como disse, resolvi fazer como fazia antes.
iptables -A FORWARD -d www.vivaolinux.com.br -p tcp --dport 80 -j DROP
Não funciona mais nem INPUT nem FORWARD. Se eu colocar com OUTPUT funciona, bloqueia geral, porém para liberar simplesmente não libera para nenhum outro computador.
Usava antes essas regras:
iptables -A OUTPUT -s 192.168.0.4 -d www.vivaolinux.com.br -j ACCEPT
iptables -A OUTPUT -d www.vivaolinux.com.br -j DROP
Funcionava normal, porém também parou de funcionar, simplesmente bloqueia tudo e não libera pra ninguém.
Resolvi formatar logo de uma vez e refazer tudo do zero, resultado: continua sem funcionar, o pior de tudo é que o script que estou testando não tem NADA praticamente, ele está como abaixo:
----------------
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -Z
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -A OUTPUT -d 192.168.0.4 -s www.vivaolinux.com.br -j ACCEPT
iptables -A OUTPUT -d www.vivaolinux.com.br -j DROP
--------------------------
Só o básico do básico do básico pra testar mesmo.
Não sei o que fiz de errado, ou deixei de fazer, só sei que está tenso o negócio.
Obs.: Não pretendo bloquear o site diretamente no iptables, senão o squid seria inutil, pretendo bloquear alguns ips, principalmente de programas que não passam pelo squid como o skype(pra bloquear o facebook integrado nele), o problema é que não posso bloquear geral, tem que ter excessões, e essas excessões não podem passar completamente fora do firewall, ou seja, fulano tenho que bloquear o acesso a 1.1.1.1 mas ta liberado pra 2.2.2.2.
A única coisa que me intriga é que funcionava normal, não fiz nada e ninguém fez, somente eu tenho a senha do servidor.
Alguém por favor me dá um luz.
Grato
Edit: Esqueci de mencionar que uso o Debian 6, recompilado pra funfar o Layer7 que nem testei ainda, e o iptables ta na versão 1.4.2, não tenho certeza da versão, após as panes eu tentei atualizar pra outras versões, mas não sei se funcionou, tentei 1.4.0 deu erro, 1.4.8 diz que atualizou, mas quando faço o iptables dar erro ele mostra 1.4.2 no erro, por isso fico na dúvida.