LINUX.ORG.RU
Форум — Admin  

iptables Блокировка URL

 ,


0

2

Не могу понять почему не работает 

iptables -I INPUT -p tcp -s XXX.XXX.XXX.XXX -m string --string "AdminService/AdminService?wsdl" --algo bm -j DROP

XXX.XXX.XXX.XXX - мой IP. На указаный урл спокойно заходит.

Может кто сталкивался?

Правило добавляется, в выхлопе iptables-save есть. Других правил на серваке нет, кроме стандартного ажуровского для днс.

А вообще нужно на томкате заблокировать некоторые урлы и разрешить доступ к ним только некоторым айпи, но почитав доку по томкату, я решил, что проще сделать через iptables.

★★★

Последнее исправление: GoNaX (всего исправлений: 1)

модуль string не блокирует урлы, как и весь iptables. Ядро вообще ничего не знает про урл. Для этого надо использовать другие средства, например, http-прокси. Ты же пытаешься дропнуть пакеты, у которых в _теле_ есть такая строка.

gaga ★
()
Ответ на: комментарий от gaga

Там перед томкатом стоит апач с вот таким конфигом, может знаешь, на уровне апача можно блокировать урлы?

<IfModule mod_ssl.c>
<VirtualHost *:8443>
	ServerAdmin webmaster@localhost

	DocumentRoot /var/www/tomcat
	JkMount /* ajp13
	DirectoryIndex index.jsp
	                        
	<Directory WEB-INF>
	    AllowOverride None
	    deny from all
	</Directory>
	                                                                
	SSLEngine on
	SSLProtocol all
        SSLCertificateFile 
        SSLCertificateKeyFile 
        SSLCACertificateFile
</VirtualHost>
</IfModule>
GoNaX ★★★
() автор топика
Ответ на: комментарий от GoNaX

mod rewrite или htaccess-ом можно залочить доступ к URL в apache

black_13 ★
()
Ответ на: комментарий от black_13

Оно, наверно, не работает с ssl трафиком. Или работает?

GoNaX ★★★
() автор топика
Ответ на: комментарий от GoNaX

Эти правила пишутся в htaccess, у меня его нет

Они могут писаться и в конфиг апача в локейшн, пример я дал выше. И в конце концов, никто не мешает создать .htaccess для апача, раз он является фронтендом у тебя.

xtraeft ★★☆☆
()

По адресам url всегда было удобнее дропать либо при помощи dns сервера - dnsmasq, bind либо средствами прокси сервера - squid, privoxy. А прокси + днс вместе дают просто очаровательные результаты.

init_6 ★★★★★
()
Ответ на: комментарий от init_6

По адресам url
при помощи dns сервера

По uri с помощью днс сервера? Сильно.

xtraeft ★★☆☆
()
Ответ на: комментарий от xtraeft

Спасибо за помошь, разрулил.

GoNaX ★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin