|
Blokada internetu/dostęp do jednej strony
|
| mireczek_81 |
Dodano 27-01-2012 11:13
|
User
Posty: 5
Dołączył: 27/01/2012 11:04
|
Witam potrzebuję zablokować na jednym komputerze dostęp do internetu za wyjątkiem jednej strony ( konkretnego adresu ip). Posiadam router z wgranym Tomato wersja 1.27 PL.
Podobno najlepiej to zrobić na IPTABLES.
Jeszcze jedno czy można to zrobić nie po adresie IP komputera tylko po adresie mac ? |
| |
|
|
| shibby |
Dodano 27-01-2012 11:47
|
SysOp
Posty: 17148
Dołączył: 15/01/2009 20:30
|
czyli jezeli komputer o macu 00:11:22:33:44:55 chce się połączyć z innym publicznym ip niż 111.222.333.444 to ma takie polaczenie blokowac. Dobrze rozumiem?
a wiec:
iptables -I FORWARD -m mac --mac-source 00:11:22:33:44:55 -d 111.222.333.444 -j DROP
Router: Unifi Cloud Gateway Max
Switch: Unifi USW-Lite-16-PoE
Switch: Unifi USW-Flex-Mini - szt. 2
Wi-Fi: Unifi U6-Lite - szt. 2
Proxmox VE: i5-13400T, 64GB RAM, 2x 512GB NVMe, 4x 2TB SSD
VM #1: Synology SA6400
VM #2: Debian, WWW
VM #3: Home Assistant OS
|
| |
|
|
| mireczek_81 |
Dodano 28-01-2012 09:50
|
User
Posty: 5
Dołączył: 27/01/2012 11:04
|
Wpisałem tak jak podałeś oczywiście zmieniając mac oraz ip ale nadal nie działa mam dostęp do wszystkich stron
iptables -I FORWARD -m mac --mac-source 00:11:22:33:44:55 -d 111.222.333.444 -j DROP |
| |
|
|
| tristan |
Dodano 28-01-2012 09:56
|
Power User
Posty: 315
Dołączył: 11/02/2011 00:17
|
Sprawdzasz strony po IP czy po nazwie domenowej? Niektóre duże serwisy korzystają z DNS Round Robin i mają kilka adresów IP. Sprawdź, czy blokuje po IP.
Był: Asus RT-N16 + Tomato PL v1.28.9054 MIPSR2 116PL K26 USB VPN mod shibby
Jest: Asus RT-AC68U + AsusWRT-Merlin 380.62_1 DualWAN+ Huawei E1820 + 2.5" HDD 500GB Lenovo + Brother HL-1430
|
| |
|
|
| mireczek_81 |
Dodano 28-01-2012 10:03
|
User
Posty: 5
Dołączył: 27/01/2012 11:04
|
Cytat tristan napisał(a):
Sprawdzasz strony po IP czy po nazwie domenowej? Niektóre duże serwisy korzystają z DNS Round Robin i mają kilka adresów IP. Sprawdź, czy blokuje po IP.
Adres IP do którego mam mieć dostęp jest zablokowany. Potrzebuję zablokować cały internet a mieć dostęp tylko do jednego adresu IP |
| |
|
|
| tristan |
Dodano 28-01-2012 10:26
|
Power User
Posty: 315
Dołączył: 11/02/2011 00:17
|
Hmmm...to IMHO ta reguła raczej tak nie zadziała. Analizując przepływ musisz blokować (drop) wszystko, a przepuszczać (accept) tylko do tego jednego wybranego IP.
Dlatego sprawdź jakie masz reguły dla FORWARD (najlepiej wklej wynik polecenia iptables -L FORWARD) i ja bym spróbował coś takiego (wpisuj w tej kolejności, nie innej):
iptables -I FORWARD -m mac --mac-source 00:11:22:33:44:55 -j DROP
iptables -I FORWARD -m mac --mac-source 00:11:22:33:44:55 -d 111.222.333.444 -j ACCEPT.
W efekcie powinieneś mieć łańcuch reguł FORWARD zaczynający się od "jeśli wybrany MAC się łączy do dozwolonego adresu - OK", następnie "jeśli wybrany MAC łączy się do innego niż dozwolony adres - KILIM", a potem już standardowe reguły dla pozostałych.
Był: Asus RT-N16 + Tomato PL v1.28.9054 MIPSR2 116PL K26 USB VPN mod shibby
Jest: Asus RT-AC68U + AsusWRT-Merlin 380.62_1 DualWAN+ Huawei E1820 + 2.5" HDD 500GB Lenovo + Brother HL-1430
|
| |
|
|
| mireczek_81 |
Dodano 29-01-2012 14:46
|
User
Posty: 5
Dołączył: 27/01/2012 11:04
|
Wielkie dzięki tristan. Wszystko działa jak należy |
| |
|
|
| mnemonic |
Dodano 04-02-2012 11:56
|
User
Posty: 42
Dołączył: 01/09/2009 16:21
|
To moze podepne sie pod ten temat zeby nie robic balaganu. Chce zablokowac w sieci dostep do gry muonline dla jednego komputera. . Moj skrypt wyglada tak:
iptables -t nat -A PREROUTING -p tcp --dport 9268 -j DROP
iptables -t nat -A PREROUTING -m iprange --dst-range 95.111.104.209 -m iprange --src-range #192.168.1.31 -p all -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 44405 -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 9273 -j DROP
iptables -t nat -A PREROUTING -m iprange --dst-range 91.224.104.254 -m iprange --src-range #192.168.1.31 -p all -j DROP
iptables -t nat -A PREROUTING -p tcp --dport 44405 -j DROP
Tyle regul bo sa to dwa serwry dla tej gry. Problem jest taki ze w tym momencie blokuje mi ten port w calej sieci a chcialbym to zrobic tylko dla jednego komputera z w/w ip.
Ma ktos jakis pomysl ? |
| |
|
|
| tristan |
Dodano 04-02-2012 13:52
|
Power User
Posty: 315
Dołączył: 11/02/2011 00:17
|
Jakieś mega dziwaczne podejście przyjąłeś. Dlaczego próbujesz blokować na tabeli nat, dlaczego używasz zakresów podając 1 IP, dlaczego wstawiasz komentarze wewnątrz reguł, dlaczego dublujesz reguły??? Poprawnie to powinno wyglądać mniej więcej tak.
iptables -I FORWARD -p tcp -s 192.168.1.31 --dport 9268:9273 -j DROP
iptables -I FORWARD -p tcp -s 192.168.1.31 --dport 44405 -j DROP
Przy czym:
1. blokowanie po IP jest najprostsze do obejścia, lepiej blokować po adresie MAC, wtedy zamiast -s adresip dajesz -m mac --mac-source xx:xx:xx:.. To też się da obejść, ale trudniej.
2. serwerów tej gry jest jak mrówków, dlatego lepiej blokować danemu kompowi wszystkie połaczenia na dany port.
3. porty są konfigurowalne po stronie serwera, więc to też da się obejść
Edytowany przez tristan dnia 04-02-2012 14:08
Był: Asus RT-N16 + Tomato PL v1.28.9054 MIPSR2 116PL K26 USB VPN mod shibby
Jest: Asus RT-AC68U + AsusWRT-Merlin 380.62_1 DualWAN+ Huawei E1820 + 2.5" HDD 500GB Lenovo + Brother HL-1430
|
| |
|
|
| irupo |
Dodano 06-02-2012 10:49
|
User
Posty: 8
Dołączył: 31/01/2012 09:53
|
Witam !!!
To i ja potrzebuję waszej pomocy : Czy jest możliwość aby rozłączać internet całkowicie po Wi-Fi o danej godzinie i włączał się o innej a po kablu był przez cały czas jeżeli jest to możliwe to jak to zrobić .
Pozdrawiam Irek |
| |
|
|
| hermes-80 |
Dodano 06-02-2012 11:35
|
VIP
Posty: 3681
Dołączył: 21/04/2009 11:24
|
Cytat To i ja potrzebuję waszej pomocy : Czy jest możliwość aby rozłączać internet całkowicie po Wi-Fi o danej godzinie i włączał się o innej a po kablu był przez cały czas jeżeli jest to możliwe to jak to zrobić .
Oczywiście: PL - Ustawienie dostępu EN - Access restriction
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
|
| |
|
|
| irupo |
Dodano 07-02-2012 09:10
|
User
Posty: 8
Dołączył: 31/01/2012 09:53
|
hermes-80 - dzięki wszystko działa
Mam jeszcze jedno pytanie czy mozna Viście ukryć inne sieci Wi-Fi aby nie można się było przełaczyć na inne Wi-Fi gdy tą zablokuję |
| |
|
|
| tomeq62 |
Dodano 08-02-2012 11:46
|
User
Posty: 41
Dołączył: 17/09/2011 20:53
|
Dołączę się do tematu mam Tomato Firmware 1.28.0905 MIPSR2-075V K26 USB Big-VPN Multilanguage i potrzebuje dla niektórych ip zablokować cały net z wyjątkiem windows update. Czy jest to do zrobienia na tym routerku. W harmonogramie mam zaznaczone blokuj dostęp do internetu z wyjątkiem i mam podane adresy IP kompów które mogą korzystać z netu, teraz potrzebuję dla tych którzy nie mogą korzystać z netu(nie są na liście wyjątków w harmnogramie) przepuścic windows update i aktualizacje dla antywirusów. Kompów w sieci ponad 100.
Dzięki z góry za pomoc |
| |
|
|
| mnemonic |
Dodano 09-02-2012 20:39
|
User
Posty: 42
Dołączył: 01/09/2009 16:21
|
tristan dzieki za odp i pomoc, teraz juz wiem na czym to wszystko polega  Thx |
| |
|
|
| mozzarella |
Dodano 26-02-2012 23:08
|
User
Posty: 14
Dołączył: 09/01/2007 15:33
|
A ja mam takie pytanko. Czy da sie przez iptables zablokować dostęp do IP wewnątrz sieci?
Współdzielę łącze poprzez wifi, w sieci lan mam serwer + odtwarzacz sieciowy.
Dostęp ograniczony na qnqpie i c-200 ale jakoś tak nieswojo się czuję .
Obecnie 3500L v2 na oryginalnym sofcie z guest wlan, ale strasznie o****e to oprogramowanie.
Brak BW limitera i paru innych...
W zapasie wrt54gl, (1.28.0021Teaman-VLAN-Std) guest wlan chodzi ale również brak BW limitera. Dodam, że wolałbym zrealizowac to na jednym urządzeniu.
Edytowany przez mozzarella dnia 26-02-2012 23:21
|
| |
|
|
| slaweek |
Dodano 09-03-2012 08:30
|
User
Posty: 29
Dołączył: 05/03/2007 13:20
|
Podepnę się. Chciałbym zablokować dostęp dla netu w taki sposób. Wiekszość z kompów ma mieć tylko dostęp do określonego serwera, gg, (reszta stron blokowana. 4 kompy maja mieć pełen dostęp. Proszę o podpowiedzenie reguł. Rozumiem, że najpierw daję pełną blokadę a następnie odblokowuję dla wybranych kompów serwerki.
czy dobrze myślę tak powina wygladać kolejnosć:
dlokowanie netu dla wszystkich kompów w sieci
odblokowanie dla całej sieci serwera
odblkowanie dla wybranych całości netu? |
| |
|
' target='_blank'>Link
