Модуль iptables для глубокого анализа пакетов на основе DPI с открытым исходным кодом (желательно gpl)

а погуглить?

http://www.ntop.org/products/deep-packet-inspection/ndpi/

и еще что то было но сейчас не могу найти

я так подумал, а что если squid пере компилировать в модули ядра

вот второй http://l7-filter.sourceforge.net/

а что если squid пере компилировать в модули ядра

1) как?
2) Это тебе не даст l7 firewall

2) Это тебе не даст l7 firewall

А ты случайно не знаешь, как через l7 firewall url фильтровать

СТОП!!! Тебе нужен только фильтр url? Если да то DPI тут вообще ни при чем.

А что?

Тебе нужно просто сделать прозрачный прокси и им уже фильтровать.

к добавлению прошлому человеку, хочу сказать что с https трафиком всё будет не так уж и просто.

cast vel

СТОП!!! Тебе нужен только фильтр url? Если да то DPI тут вообще ни при чем.

А что?

Анализируй dns запросы на предмет нехороших сайтов(regexp), вытаскивай из кеша dns их ip и добавляй в черный список(например на сутки), после обрывай соединение с этим адресом.

snort тебе в помощь в режиме ips, еще есть пакет l7-filter но он не поддерживается уже

вытаскивай из кеша dns их ip

В очередной раз поспамлю своей утилитой, которая все это упрощает: https://github.com/vmxdev/sidmat

И вот вялое обсуждение на лоре Как заблокировать узел по доменному имени, перехватывая DNS-пакеты

У утилиты есть аццкое преимущество - не обязательно держать свой днс-сервер и заставлять пользователей резольвить им. Она ловит весь днс-трафик и выбирает из него что нужно. Правда, только IPv4.

Но вообще это не очень корректное решение, не всегда же нужно блокировать весь узел. Интересно, что решений с фильтрацией именно по урлу (без проксирования) действительно мало, задача не выглядит очень уж сложной. Ну, по крайней мере для небольших нагрузок можно было бы, наверное, как-то по-простому сделать.

зачем звали ?

PS Странно, но уведомления не пришло! Хотя еще 3 дня назад работало.

l7filter до сих пор поддерживается в openwrt :)

Применить эти патчи - не проблема.

sigmat - если бы она через nflog получала бы данные, то было бы приличное решение.

Звал, потому что ты у меня с DPI ассоциируешься =).

Уведомление не пришло, наверное, потому, что я правил комментарий.