Фильтрация трафика по содержимому

-m string --string «blabla» --algo kmp --to 65535 -j DROP (или REJECT по усмотрению)

Что за трафик? Если это http-трафик, то он может быть gzip-нутым.

читай условие: «прийдёт строка «blabla»»

строка

я подразумеваю что это plain-text

Манулы читайте: если пакет фрагментирован, то Вы можете лососнуть тунца со своим правилом.

Юзай ndpi.

и зачем ты мне это рассказываешь? я ему подсказал по правилу, а не по сути

опять потерпел поражение... точный список моих действий:

1. в Virtualbox создал 3 виртуалки с ubuntu все их кинул во «внутреннюю сеть» одной из них дал 2 интерфейса во внутренней сети (будущий шлюз). остальным дал адреса 192.168.0.2 и 172.18.5.2, настроил форвардинг и маскарад на шлюзе. В обе стороны пошёл пинг с 192.168.0.2 на 172.18.5.2 и обратно.

2. на шлюзе создал скрипик:

#! /bin/bash
echo "Сброс правил"
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -P INPUT ACCEPT

echo "возвращаем маскарад"
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

echo "правила фильтрации трафика"
iptables -I INPUT -m string --string "blabla" --algo kmp --to 31337 -j DROP

запускаю, всё без ошибок

3. на компе 172.18.5.2 выполняю:

(echo -e "HTTP/1.1 200 OK\nContent-Type: text/html\n\n blabla";) | nc -vv -l -p 31337

на компе 192.168.0.2 выполняю:

nc 172.18.5.2 31337

и получаю страничку с текстом «blabla» хотя по идеи не должен её получить, т.к. на шлюзе должно было отфильтроваться. Где я намудил налажал?

можно пример как я с помощью ndpi я могу дропнуть пакеты с какой либо сигнатурой (как строка так и хекс данные, не суть короче говоря). А то на просторах рунета уж слишком мало информации а в английском я на уровне среднестатистического первокурсника (хотя уже 5 курс, не повезло мне:) )

в принцепе можно и не зацикливаться на iptables или ещё на чём ни будь стандарном может есть варианты с какими ни то уже известными и лежащими в репах фаерволами?

Вы хотите дропнуть пакеты с запятыми, я правильно понимаю?

да нет, я хочу дропнуть пакеты с производными строками (их я буду узнавать анализируя трифик) напирмер, замечаю что на сайт идёт sql inj, я смотрю что злоумышленник использует конструкцию «+union+select....» и я пока не закрою дыру хочу прям сдесь и сейчас просто рубить в трафике все пакеты, где содержится подстрока «union+select»

на шлюзе создал скрипик
на шлюзе
iptables -I INPUT

да нет, я хочу дропнуть пакеты с производными строками (их я буду узнавать анализируя трифик) напирмер, замечаю что на сайт идёт sql inj, я смотрю что злоумышленник использует конструкцию «+union+select....» и я пока не закрою дыру хочу прям сдесь и сейчас просто рубить в трафике все пакеты, где содержится подстрока «union+select»

Для этого есть системы обнаружения вторжений. их много. одним из ярких примеров является Snort

А что можно посмотреть из проприетарщины, которую можно на торрентах скачать?

-m string --string «blabla» --algo kmp --to 65535 -j DROP (или REJECT по усмотрению)

А string в какой кодировке, utf8?

Да

Логичнее делать это средствами веб-сервера.