iptables-Regeln zum Zulassen von HTTP-Datenverkehr für nur eine Domäne

Ich muss meinen Computer so konfigurieren, dass nur HTTP-Datenverkehr von / zu serverfault.com zugelassen wird. Alle anderen Websites, Service-Ports sind nicht zugänglich. Ich habe mir die folgenden Iptables-Regeln ausgedacht:

#drop everything
iptables -P INPUT DROP
iptables -P OUTPUT DROP

#Now, allow connection to website serverfault.com on port 80
iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

#allow loopback
iptables -I INPUT 1 -i lo -j ACCEPT

Es funktioniert nicht ganz gut:

• Nachdem ich alles fallen gelassen habe, gehe ich zu Regel 3 über:

  iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT

Ich erhalte diesen Fehler:

iptables v1.4.4: host/network `serverfault.com' not found
Try `iptables -h' or 'iptables --help' for more information.

Denken Sie, dass es mit DNS zusammenhängt? Soll ich das auch zulassen? Oder sollte ich einfach IP-Adressen in die Regeln aufnehmen? Glauben Sie, was ich versuche, könnte mit einfacheren Regeln erreicht werden? Wie?

Ich würde mich über jede Hilfe oder Hinweise dazu freuen. Vielen Dank!

Bei den IPTables-Regeln ist die Reihenfolge wichtig. Die Regeln werden der Reihe nach hinzugefügt und angewendet. Darüber hinaus werden Regeln beim manuellen Hinzufügen sofort angewendet. Daher werden in Ihrem Beispiel alle Pakete, die die INPUT- und OUTPUT-Ketten durchlaufen, verworfen, sobald die Standardrichtlinie festgelegt wird. Dies ist übrigens auch der Grund, warum Sie die Fehlermeldung erhalten haben, die Sie erhalten haben. Was passiert ist folgendes:

1. Die Standard-DROP-Richtlinie wird angewendet
2. IPTables empfängt einen Hostnamen als Ziel
3. IPTables versucht eine DNS-Suche auf "serverfault.com"
4. Die DNS-Suche wird durch die DROP-Aktion blockiert

Während die Quell- / Zieloptionen Hostnamen akzeptieren, wird davon dringend abgeraten. So zitieren Sie die Manpage:

Hostnamen werden nur einmal aufgelöst, bevor die Regel an den Kernel gesendet wird. Beachten Sie, dass die Angabe eines Namens, der mit einer Remote-Abfrage wie DNS aufgelöst werden soll, eine wirklich schlechte Idee ist.

Slillibri traf den Nagel auf den Kopf, worauf er antwortete, Sie hätten die DNS-ACCEPT-Regel verpasst. In Ihrem Fall spielt es keine Rolle, aber im Allgemeinen würde ich die Standardrichtlinie später im Prozess festlegen. Das Letzte, was Sie möchten, ist, dass Sie remote arbeiten und SSH zulassen, nachdem Sie eine Standardverweigerung aktiviert haben.

Abhängig von Ihrer Distribution sollten Sie auch in der Lage sein, Ihre Firewall-Regeln so zu speichern, dass sie beim Start automatisch angewendet werden.

Wenn Sie das alles wissen und Ihr Skript neu ordnen, empfehle ich Folgendes.

# Allow loopback
iptables -I INPUT 1 -i lo -j ACCEPT

# Allow DNS
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

# Now, allow connection to website serverfault.com on port 80
iptables -A OUTPUT -p tcp -d serverfault.com --dport 80 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Drop everything
iptables -P INPUT DROP
iptables -P OUTPUT DROP

Hinzufügen

iptables -A OUPUT -p udp --dport 53 -j ACCEPT

DNS-Lookups zulassen.

Diese Art von Anforderung kann mit einem Web-Proxy und / oder Filter besser gehandhabt werden. Dansgaurdian kann dazu konfiguriert werden. Sie müssen NAT-Regeln verwenden, um den Datenverkehr durch den Filter zu zwingen.

Durch die Verwendung von iptables zum Filtern können alle Websites mit den entsprechenden IP-Adressen ausgewählt werden. Dies ist normalerweise eine kleine Teilmenge des gesamten Webs.

Ich fürchte, iptables funktioniert auf dieser Ebene nicht, es kümmert sich nur um die IP-Adresse, nicht um den Hostnamen. Wenn Sie den Zugriff auf virtuelle Hosts mit anderen Namen auf derselben IP-Adresse blockieren möchten, müssen Sie die .htaccess-Dateien eingeben.

Sie müssen dies auf Ihrem Webserver konfigurieren. iptables ist ein Paketfilter. HTTP-Transaktionen senden den Site-Namen (dh Stackoverflow) als Teil der TCP-Payload (dh nicht als Teil des TCP-Headers, den iptables leicht liest).

Angesichts dessen und der Tatsache, dass HTTP-Transaktionen mit ziemlicher Sicherheit über mehrere Pakete verteilt sein werden (dh, Sie können nicht einfach eine Zeichenfolge im HTTP-Header abgleichen), wird dies von Ihrer Webserverkonfiguration oder einem Proxy vor Ihnen viel besser gehandhabt davon.

Es wäre nützlich, die Gründe dafür zu kennen. Es gibt noch ein paar andere Alternativen:

1. Weiterleiten an die richtige URL, wenn sie die falsche URL eingeben (z. B. Weiterleiten an stackoverflow.com, wenn sie www.stackoverflow.com eingeben)
2. Weisen Sie Ihren Webserver an, keine anderen Hosts als stackoverflow.com zu bedienen
3. Stellen Sie die Site auf eine separate IP-Adresse, auf die sich sonst nichts auflöst, und lassen Sie Ihren Webserver nur darauf warten.