Bloqueio de MSN + Msn-Proxy [RESOLVIDO]

luivilella
(usa Debian)

Enviado em 02/11/2010 - 16:09h

Pessoal to com Msn-Proxy aqui rodando belezinha, porem recentemente me pediram a seguinte regras: alguns ip nao podem entrar no msn, sendo assim pensei como tem mais bloqueio do msn vou bloquear tudo e aceitar as conexoes que eu quero pensei algo assim:

iptables -A FORWARD -s 192.168.0.110 -p tcp --dport 1863 -j ACCEPT
iptables -A FORWARD -s 192.168.0.110 -d loginnet.passport.com -j ACCEPT

iptables -t nat -I PREROUTING -i eth1 -s 192.168.0.110 -p tcp --dport 1863 -j REDIRECT --to-port 1863

iptables -A FORWARD -s 192.168.0.0/24 -p tcp --dport 1863 -j REJECT
iptables -A FORWARD -s 192.168.0.0/24 -d loginnet.passport.com -j REJECT

Mas quando tento entrar no msn da Erro, tiro o
iptables -A FORWARD -s 192.168.0.0/24 -p tcp --dport 1863 -j REJECT
iptables -A FORWARD -s 192.168.0.0/24 -d loginnet.passport.com -j REJECT

Ai funciona, mas ai todo mundo entra no msn e nao passa no msn-proxy.

Alguem pode ajudar-me nestas regras??
Desd ja' agradeco!!!!!!

luivilella
(usa Debian)

Enviado em 02/11/2010 - 16:10h

.

renato_pacheco
(usa Debian)

Enviado em 02/11/2010 - 17:46h

Pq vc não troca o -A pelo -I? Fica assim:

iptables -I FORWARD -s 192.168.0.0/24 -p tcp --dport 1863 -j REJECT
iptables -I FORWARD -s 192.168.0.0/24 -d loginnet.passport.com -j REJECT

luivilella
(usa Debian)

Enviado em 04/11/2010 - 10:24h

Funcionou Perfeitamente com o -I
-A - Adiciona uma regra no fim da chain;
-I - Adiciona uma regra em lugar específico da chain;
mas oque exatamente isto faz?

renato_pacheco
(usa Debian)

Enviado em 04/11/2010 - 10:35h

É assim: o iptables lê sempre as regras q são inseridas primeiro. Se vc inseriu uma q rejeita os pacotes, a próxima q vc colocar pra liberar não será liberada, pois vc já bloqueou. No caso do parâmetro -I, em vez d inserir no final da regra, inseriu no começo, para q o iptables leia primeiro essa regra q vc inseriu pra depois ler aquela regra d rejeitar o pacote, sacou?

luivilella
(usa Debian)

Enviado em 04/11/2010 - 10:47h

Sim sim, segue a mesma logica das http_access do squid, um esquema hierárquico podemos diz que para o meu caso nas regras de bloqueio -A e as permissões -I. OK OK Mais uma vez Muito Obrigado.