Witam
Czy w czasach Web-2.0 mogę w sieci lan dla konktretnego IP zablokować strony www i przepuścić kilka? (regułki iptables czy innym programem?)

Spróbuj https://www.howtoforge.com/how-to-set-u ... -centos5.1

A dlaczego nie chce mi zadziałać regułka na blokadę w iptables. Oczywiście wp.pl to tylko przykład.

#!/bin/sh

# wlaczenie w kernelu forwardowania
echo 1 > /proc/sys/net/ipv4/ip_forward

# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -t mangle -F
iptables -t mangle -X

# Blokada przed atakiem DOS Teardrop
iptables -A INPUT -p UDP -f -j DROP
# Blokada przed atakiem DOS Jolt
iptables -A INPUT -p ICMP -f -j DROP
# Ochrona przed atakami typu Smurf
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
# Wlaczamy ochrone przed komunikacja ICMP error
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
# Wlacza logowanie dziwnych pakietow (spoofed. source routed. redirects)
echo "1" > /proc/sys/net/ipv4/conf/all/log_martians
# Nie akceptujemy datagramu IP z opcja "source route"
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
# Zabezpieczenie przed powodzia pakietów SYN (ang. Syn-flood)
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
# Skaner portow Furtive
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Ping of death
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# ustawienie domyslnej polityki
iptables -P INPUT DROP #input -strumien wchodzacy; drop-blokada
iptables -P FORWARD DROP #forward -pakiety przechodzace miedzy interfejsami
iptables -P OUTPUT ACCEPT #output -wychodzace pakiety przepuszczamy

# lo - nie wiem czy to potrzebne bo i bez tego tez dziala
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT

# utrzymanie polaczen nawiazanych
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED


# udostepnianie internetu w sieci lokalnej MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT


###############################################################
####################### blokada www dla ip ###############

iptables -A FORWARD -s 192.168.2.61 -p tcp --dport 80 -j DROP
iptables -A FORWARD -s 192.168.2.61 -d http://www.wp.pl -j ACCEPT


# www - 80
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

# https
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

# DHCP - potrzebne jesli chcemy dhcp
iptables -A INPUT -p tcp --dport 67 -j ACCEPT
iptables -A INPUT -p udp --dport 67 -j ACCEPT


################################################################
####################### SQUID #######################

# otwarcie portu 8080
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT

# 3128
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 3128 -j ACCEPT

# squid
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

Na początek - bez "http" w regulach......
Dwa - używasz squida? W dzisiejszych czasach? Przydaje się tylko w bardzo specyficznych przypadkach

Ok, bez "http" też próbowałem a squid działał jak nie było za dużo stron po https.
Wróćmy do pytania które zadałem na początku.

Żeby blokować https, musiałbyś rozszywać ruch na firewallu... ewentualnie możesz po prostu DNS-em dla konkretnych domen ustawić 127.0.0.1 i pozamiatane ;)
WP nie zadziała właśnie przez https - ma ustawioną politykę STS i przerzucania ruchu na ssl

pozatym -A to masz dodanie za kolejnością.
Jak masz match na -dport 80 -j DROP to kolejnej reguły (accept) już żre
Zmień kolejność, albo zamiast -A daj -I - wtedy dodaje na początku łancucha

Jeszcze wszcześniej masz -s 192.168.blelble -j ACCEPT - to w zasadzie wszysztkie następne reguły są w dupe wsadzić

_________________
... gdy pijemy pod banderą Morskich Opowieści

Z tego co zrozumiałem to:

#!/bin/sh

# wlaczenie w kernelu forwardowania
echo 1 > /proc/sys/net/ipv4/ip_forward

# czyszczenie starych regul
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
#iptables -t mangle -F
#iptables -t mangle -X

# Blokada przed atakiem DOS Teardrop
iptables -A INPUT -p UDP -f -j DROP
# Blokada przed atakiem DOS Jolt
iptables -A INPUT -p ICMP -f -j DROP
# Ochrona przed atakami typu Smurf
echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
# Wlaczamy ochrone przed komunikacja ICMP error
echo "1" > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
# Wlacza logowanie dziwnych pakietow (spoofed. source routed. redirects)
echo "1" > /proc/sys/net/ipv4/conf/all/log_martians
# Nie akceptujemy datagramu IP z opcja "source route"
echo "0" > /proc/sys/net/ipv4/conf/all/accept_source_route
# Zabezpieczenie przed powodzia pakietów SYN (ang. Syn-flood)
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
# Skaner portow Furtive
iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
# Ping of death
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

# ustawienie domyslnej polityki
iptables -P INPUT DROP #input -strumien wchodzacy; drop-blokada
iptables -P FORWARD DROP #forward -pakiety przechodzace miedzy interfejsami
iptables -P OUTPUT ACCEPT #output -wychodzace pakiety przepuszczamy

# lo - nie wiem czy to potrzebne bo i bez tego tez dziala
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT

# utrzymanie polaczen nawiazanych
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A OUTPUT -j ACCEPT -m state --state ESTABLISHED,RELATED

###############################################################
####################### blokada www dla ip ###############

iptables -A FORWARD -s 192.168.2.61 -p tcp --dport 80 -j DROP
iptables -A FORWARD -s 192.168.2.61 -d http://www.wp.pl -j ACCEPT


# udostepnianie internetu w sieci lokalnej MASQUERADE
iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
iptables -A FORWARD -s 192.168.2.0/24 -j ACCEPT


# www - 80
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -j ACCEPT

# https
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 443 -j ACCEPT

# DHCP - potrzebne jesli chcemy dhcp
iptables -A INPUT -p tcp --dport 67 -j ACCEPT
iptables -A INPUT -p udp --dport 67 -j ACCEPT


################################################################
####################### SQUID #######################

# otwarcie portu 8080
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 8080 -j ACCEPT

# 3128
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 3128 -j ACCEPT

# squid
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128