บรรจวบ เข้าสู่ระบบ
Score:2
Damiano Dotto avatar Server

Centos Docker iptables บล็อกการรับส่งข้อมูลทั้งหมดยกเว้นโดเมน

ธง sg
Damiano Dotto

ฉันกำลังพยายามบล็อกการรับส่งข้อมูลขาออกทั้งหมดจาก iptables สำหรับอินเทอร์เฟซของนักเทียบท่า docker0 แต่ฉันต้องการเปิดการเข้าถึงสำหรับบางโดเมน:

ฉันจะทำอย่างนั้นได้อย่างไร

ฉันพยายามที่:

iptables -I OUTPUT -o นักเทียบท่า 0 -j DROP 
iptables -I DOCKER -i docker0 -p udp --dport 53 -j ยอมรับ 
iptables -I DOCKER -i docker0 -p tcp -d mydomain.com --dport 80 -j ยอมรับ 
iptables -I DOCKER -i docker0 -m conntrack --ctstate ESTABLISHED, RELATED -j ยอมรับ
146
1 + 0
Score:0
Nikita Kipriyanov avatar Server
ธง za
Nikita Kipriyanov

มันเป็นไปไม่ได้. iptables ควบคุม Netfilter ซึ่งเป็นตัวกรองแพ็กเก็ต IP (ไฟร์วอลล์) ที่ทำหน้าที่ใน OSI ระดับ 3 และ 4 ชื่อโดเมน DNS เป็นระดับที่สูงกว่า (และค่อนข้างตั้งฉาก) มากกว่านั้น

คุณสามารถควบคุมการเข้าถึงบางส่วนได้ ที่อยู่ IP (L3) และ พอร์ต TCP/UDP (L4) ด้วย Netfilter

หากคุณต้องการควบคุมการเข้าถึงเว็บไซต์ คุณมีตัวเลือกต่อไปนี้:

  • แก้ไขชื่อ DNS ล่วงหน้า รับที่อยู่ IP และใส่ลงในไฟร์วอลล์ AFAIK iptables กำลังทำสิ่งนั้นเองเมื่อคุณตั้งชื่อโดเมน สิ่งที่กำหนดค่าภายใน Netfilter ได้รับการแก้ไขที่อยู่ IP สำหรับชื่อนั้น เมื่อเจ้าของโดเมนนั้นตัดสินใจเปลี่ยนที่อยู่ IP กฎของคุณจะไม่มีผลอีกต่อไป หากมีเว็บไซต์มากกว่าหนึ่งแห่งที่โฮสต์บนเซิร์ฟเวอร์นั้นซึ่งมีที่อยู่ IP นี้ (เช่น มีโฮสต์เสมือนที่โฮสต์หลายชื่อ) คุณจะอนุญาตทั้งหมดหรือปิดการใช้งานทั้งหมด นี่คือสิ่งที่คุณกำลังทำอยู่ตอนนี้
  • พร็อกซี HTTP ซึ่งตรวจสอบชื่อโดเมนที่ร้องขอและห้ามการเข้าถึงบางส่วน สิ่งประดิษฐ์สมัยใหม่ เช่น ECH (eSNI) จะลดอำนาจของคุณลงเพื่อควบคุมการเข้าถึงช่วง IP เท่านั้น เช่นเดียวกับไฟร์วอลล์ธรรมดา เพราะมันทำให้คุณไม่สามารถระบุได้ว่าชื่อโฮสต์ใดได้รับการร้องขอ
  • การกรอง DNS ซึ่งกำหนดค่าว่าโดเมนใดที่ Recursive Resolver ของคุณจะแก้ปัญหาให้กับลูกค้าและโดเมนใดที่จะไม่แก้ไขอีกครั้ง สิ่งประดิษฐ์สมัยใหม่ เช่น DNS-over-HTTP (โดย Cloudflare) จะสรุปอำนาจของคุณในการทำเช่นนั้น เนื่องจากเซิร์ฟเวอร์ DNS ของคุณจะไม่รับผิดชอบในการแก้ไขชื่ออีกต่อไป และคุณไม่สามารถทราบได้ว่าชื่อโฮสต์ใดได้รับการร้องขอ
  • การตรวจสอบแพ็คเก็ตเชิงลึก (DPI) และอีกครั้ง อินเทอร์เน็ตสมัยใหม่กำลังมุ่งไปสู่การปิดใช้งานความเป็นไปได้ในการตรวจสอบทราฟฟิกโดยบุคคลที่สามอย่างชัดเจน
0 + 0
ธงชาติไทย
Kulap
คำถามนี้เป็นภาษาอื่นๆ:

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา