iptables для блокування веб-сайтів https

Я хочу заблокувати декілька веб-сайтів, які також працюють на https, наприклад, у Facebook, Twitter та Gmail, у моїй організації. Кальмари не повинні використовуватися тут відповідно до наказів вищого керівництва. Ми можемо використовувати пакет Untangle Lite і iptables.

Чи є інший варіант, крім кальмарів, щоб це зробити? Також iptablesбуло б дуже корисно якесь правило блокування такого типу трафіку.

Я це знайшов

iptables -t filter -I INPUT -m string --string facebook.com -j LOG --algo bm
iptables -t filter -I INPUT -m string --string facebook.com -j REJECT --algo bm

але https все ще працює на машинах, крім локальної машини.

Замість відповідності на основі URL-адреси спробуйте відповідати відповідно до вмісту сертифіката.

iptables -t nat -I INPUT --sport 443 -m string \
                 --string www.facebook.com --algo bm -j REJECT

Ви також можете відповідати за відбитками пальців, але якщо місце призначення змінить або оновить їх сертифікат, це визнає недійсним ваше правило.

Брандмауер не може керувати URL-адресами HTTPS, до яких намагається отримати клієнт, оскільки URL-адреса зашифрована. Брандмауер може контролювати лише ті сайти, до яких підключається клієнт, використовуючи IP-адреси, але це не допомагає, якщо версії HTTP та HTTPS на сайті є однією URL-адресою (і навіть якщо їх немає, у вас буде для підтримки величезного списку IP-адрес).

Єдиний реалістичний спосіб блокувати HTTPS - це повністю заблокувати його. Наполягайте на тому, що всі з'єднання повинні бути дійсними HTTP (тобто клієнт починає надсилати HTTPлінію тощо). Це неможливо зробити лише за допомогою IPtables, вам потрібен власний проксі-сервер, як-от Squid. (Я не знаю, на що здатний Untangle Lite.)

Можна заблокувати більшість трафіку HTTPS, заблокувавши вихідний трафік до порту 443, оскільки майже всі сервери HTTPS є на цьому порту. Або, дотримуючись білого підходу, дозволяти тільки вихідний трафік до порту 80 (звичайний HTTP-порт).

Іншим підходом було б проксі всіх HTTP та HTTPS-з'єднань. Тоді ви можете відповідати за URL-адресами. Для цього потрібно провести атаку на клієнтів. Це можна зробити, якщо ви розгорнете власний сертифікаційний центр на всіх клієнтських машинах і зареєструєте його там як корінь довіри. Це може вважатися неетичним.

Незалежно від того, що ви робите, визначені користувачі встановлять проксі поза вашим оточенням та запускатимуть IP через HTTP або щось подібне.

Ви, здається, або намагаєтеся виправити соціальну проблему технічними засобами, які навряд чи колись спрацьовують, або робите все можливе, щоб реалізувати дурну вимогу керівництва (у такому випадку я б пішов із блокуванням порту 443, можливо, лише для певні IP-адреси, які дозволять вам повідомити, що ви зробили свою роботу, незалежно від того, наскільки це марно).

Я знаю один варіант.

Якщо у вас є внутрішні DNS-сервери для використання, то введіть деякі статичні посилання у дані зони TLD, які вирішують домени (що ви не бажаєте встановлювати зовнішні з'єднання) лише до 127.0.0.1. Таким чином, всі хости, що використовують центральний DNS у вашій мережі, вирішать (facebook.com/twitter.com як такі) домени на адресу петлі, що нікуди не призведе.

Це спрацює, якщо ви матимете повний авторитетний контроль над конфігурацією роздільної здатності клієнтських машин вашої мережі. Якщо робочі станції / клієнти мають дозволи змінювати / редагувати або / etc / hosts, або /etc/resolv.conf, вони можуть обійти цю опцію.

Варіант полягає в обробці маршрутів до мережевих блоків: (перераховано для FB)

ip route add blackhole 69.171.224.0/19
ip route add blackhole 74.119.76.0/22 
ip route add blackhole 204.15.20.0/22
ip route add blackhole 66.220.144.0/20
ip route add blackhole 69.63.176.0/20
ip route add blackhole 173.252.64.0/18

Звичайний фільтр вмісту не може блокувати сайт ssl.

Використовуйте засоби захисту від вторгнення, наприклад, морди / сурікати.

Приклад IPS-правила : для блокування ssl URL-адрес для конкретної IP-адреси.

drop ip any 443 -> 192.168.3.30 any (content:".facebook.com"; msg:"Simplewall Ssl block for User30 : Urls => .facebook.com " sid:26648513;rev:1;)

drop ip any 443 -> 192.168.3.30 any (content:".fbcdn.net"; msg:"Simplewall Ssl block for User30 : Urls => .fbcdn.net " ;sid:11469443;rev:1;)

drop ip any 443 -> 192.168.3.30 any (content:".youtube.com"; msg:"Simplewall Ssl block for User30 : Urls => .youtube.com " ;sid:13989722;rev:1;)

Завантажте Simplewall : у правилах політики simplewall, якими ділиться IPS Squid + Suricata.

Ви повинні покласти це на ланцюг FORWARD, наприклад

iptables -I FORWARD  -m string --string "facebook.com" \
                     --algo bm --from 1 --to 600 -j REJECT

Це вплине на інші системи в мережі, крім брандмауера.