' target='_blank'>Link
25 Kwietnia 2024 15:03:57
Nawigacja
· Strona Główna
· Forum
· Tomato by Shibby
· FreshTomato

Wątki na forum
Najnowsze dyskusje
· Asus TUF-AX3000_V2 p...
· nju swiatło pytania
· Jaki router kupić? ...
· konfiguracja router ...
· Szukam zaproszenia n...
· [Howto] Xpenology na...
· dodatkowe złącza s...
· RT-N18U - nie można...
· [MOD] Tomato64 (x86-64)
· Firewall nie zawsze ...
· [MOD] FreshTomato-AR...
· Optware na CIFS
· RT-AX56U - Status kl...
· [MOD] FreshTomato-MI...
· Multiroom N z wykorz...
· [S] Asus RT-AC68U E1
· [S] ASUS RT-AC68U
· Rozłączanie klient...
· serwer VPN za wan'em
· Przejscie z dyndns f...
Najpopularniejsze obecnie wątki
· Jaki router kupi... [552]
· Asus TUF-AX3000_V... [19]
· Szukam zaproszeni... [16]
· konfiguracja rout... [8]
· nju swiatło pytania [0]
Ankieta
Jaki procesor posiada twój router?

Broadcom MIPSEL
Broadcom MIPSEL
36% [151 głosów]

Broadcom ARM
Broadcom ARM
52% [216 głosów]

Atheros
Atheros
5% [22 głosów]

Marvell
Marvell
1% [4 głosów]

Ralink
Ralink
1% [3 głosów]

Intel/AMD/VIA
Intel/AMD/VIA
1% [5 głosów]

Żaden z powyższych
Żaden z powyższych
4% [15 głosów]

Ogółem głosów: 416
Musisz zalogować się, aby móc zagłosować.
Rozpoczęto: 02/02/2015 09:38
Twoje IP
18.191.234.191
Zobacz wątek
OpenLinksys » :: PORTAL :: » Tutoriale
 Drukuj wątek
Blokowanie stron (https, http) za pomoca modułu string
hermes-80
Top  #1 Drukuj post
Dodano 22-01-2015 15:53
Jeśli chcemy zablokować strony https z pomocą przychodzi nam moduł string - obecnie trzeba ręcznie ustawić ponieważ Access Restricction nie działa na nim.

1. Ładujemy moduł string
modprobe xt_string

Aby po restarcie działało blokowanie należny dodać ww. wpis do Administration/Scripts/Init

wydając komendę: lsmod musimy zobaczyć załadowany moduł xt_string

2. Dodajemy wpisy iptables blokowanych stron np:
Administration/Scripts/Firewall

Cytat

iptables -I FORWARD -m string --algo bm --string 'www.youtube.com' -j DROP

Po wydaniu komendy iptables -L powinniśmy zobaczyć naszą regułkę w sekcji: Chain FORWARD (policy DROP)
w tym wpisie mamy zablokowane youtube.

Próba zrobiona na WNR3500v1
Tomato Firmware 1.28.0000 MIPSR2-124 K26 USB BTgui-VPN

Co zauważyłem to przymulanie przy otwieraniu stron ale to może tylko u mnie.

Może się komuś przyda ;).
Edytowany przez shibby dnia 04-02-2015 13:15
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
qrs
Top  #2 Drukuj post
Dodano 23-01-2015 23:20
dzięki
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
 
hermes-80
Top  #3 Drukuj post
Dodano 24-01-2015 10:15
Pomyliłem się -
zamiast:

Cytat

lsmod /lib/modules/2.6.22.19/kernel/net/netfilter/xt_string.ko


ma być:

Cytat

insmod /lib/modules/2.6.22.19/kernel/net/netfilter/xt_string.ko
===============================================================
Netgear WNR3500L v1
Podziękowania dla administracji Openlinksys.info!
 
qrs
Top  #4 Drukuj post
Dodano 04-02-2015 08:19
po dodaniu do zakładki Firewall paru reguł blokujących całkowicie tylko FB

Cytat

iptables -I FORWARD -m string --algo bm --string 'akamaihd.net' -j DROP
iptables -I FORWARD -m string --algo bm --string 'facebook.com' -j DROP
iptables -I FORWARD -m string --algo bm --string 'facebook.net' -j DROP
iptables -I FORWARD -m string --algo bm --string 'fbcdn.com' -j DROP
iptables -I FORWARD -m string --algo bm --string 'fbcdn.net' -j DROP


generalnie net tak spowolnił jakby wszystko było uzależnione od właśnie FB

nawet aplikacja mBanku na Androidzie nie chce się ładować po zalogowaniu, ze względu na to że ładowane jest zdjęcie profilowe z FB https://fbcdn-profile-a.akamaihd.net/hprofile-ak-frc3/v/t1.0-1/p130x130/...jpg?oh=...&oe=...&__gda__=... Wink

Można jakoś rozwiązać ten problem aby net działał normalnie a FB był zablokowany? Nie chcę wylewać dziecka z kąpielą Wink

Może zamiast DROP zrobić przekierowanie na pixelserv 192.168.0.254 który działa u mnie przy okazji AdBlocka?
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
 
shibby
Top  #5 Drukuj post
Dodano 04-02-2015 13:44
@Hermes pozwoliłem sobie poprawić tutka o poprawne komendy ładowania modułu.

W Tomato-ARM moduł string był wkompilowany w kernel a nie jako osobny moduł. W v125 ujednolicę to by w ARM też kompilował się jako moduł do załadowania.

@qrs - nie ma co się dziwić. string analizuje każdy pakiet pod kątem występowania danego słowa. To wielka praca dla procesora. Prościej zablokować IPki tych domen, chociaż wtedy nie ustrzeżemy się przed jakimiś webproxy.
Proxmox VE: i7-7700T, 64GB RAM, 3x2TB SSD, 1x1TB SSD, 512GB NVMe, Intel X710-DA2 SFP+
VM Router: OpenWRT 22.03.4
VM NAS: Synology DS920+
VM VPS: Debian, WWW, Home Assistant
Switch: Netgear MS510TXPP
Switch: Ubiquiti USW-Flex-mini - szt. 2
Wi-Fi: Ubiquiti U6-Lite - szt. 2
 
qrs
Top  #6 Drukuj post
Dodano 04-02-2015 14:42
no tak, chyba faktycznie najlepszym pomysłem będzie jednak dodanie IP dla FB i pokrewnych oraz zaakceptowanie ryzyka wystąpienia połączenia przez webproxy

1. uzyskanie adrersów IP:

Cytat

$ host www.facebook.com
www.facebook.com is an alias for star.c10r.facebook.com.
star.c10r.facebook.com has address 31.13.64.1
star.c10r.facebook.com has IPv6 address 2a03:2880:10:8f01:face:b00c::9
star.c10r.facebook.com mail is handled by 10 msgin.t.facebook.com.

$ whois -h whois.radb.net 31.13.64.1
route: 31.13.64.0/24
descr: Facebook, Inc.
origin: AS32934
mnt-by: MAINT-AS32934
changed: jj@fb.com 20111025
source: RADB

$ whois -h whois.radb.net '!gAS32934' | tr " " "\n" | sort -n -t . -k 1,1 -k 2,2 -k 3,3 -k 4,4
A939
C
31.13.24.0/21
31.13.64.0/18
31.13.64.0/19
31.13.64.0/24
31.13.65.0/24
31.13.66.0/24
31.13.67.0/24
31.13.68.0/24
31.13.69.0/24
31.13.70.0/24
31.13.71.0/24
31.13.72.0/24
31.13.73.0/24
31.13.74.0/24
31.13.75.0/24
31.13.76.0/24
31.13.77.0/24
31.13.78.0/24
31.13.79.0/24
31.13.80.0/24
31.13.82.0/24
31.13.83.0/24
31.13.84.0/24
31.13.85.0/24
31.13.86.0/24
31.13.87.0/24
31.13.88.0/24
31.13.89.0/24
31.13.90.0/24
31.13.91.0/24
31.13.92.0/24
31.13.93.0/24
31.13.94.0/24
31.13.95.0/24
31.13.96.0/19
66.220.144.0/20
66.220.144.0/20
66.220.144.0/21
66.220.152.0/21
66.220.159.0/24
69.63.176.0/20
69.63.176.0/20
69.63.176.0/20
69.63.176.0/21
69.63.176.0/21
69.63.176.0/24
69.63.178.0/24
69.63.184.0/21
69.63.184.0/21
69.63.186.0/24
69.171.224.0/19
69.171.224.0/20
69.171.239.0/24
69.171.240.0/20
69.171.253.0/24
69.171.255.0/24
74.119.76.0/22
103.4.96.0/22
173.252.64.0/18
173.252.64.0/19
173.252.70.0/24
173.252.96.0/19
204.15.20.0/22
204.15.20.0/22


2. dodanie reguł do iptables (powtórzyć dla każdego IP):

Cytat

iptables -A INPUT -p tcp -d xxx.xxx.xxx.xxx/xx --dport 443 -j REJECT
iptables -A OUTPUT -p tcp -d xxx.xxx.xxx.xxx/xx --dport 443 -j REJECT


Nie wiem czy da się prościej nie zabijając procka Smile

Połączony z 06 February 2015 18:59:43:
gdyby ktoś chciał uzyskać wszystkie IPki dla FB to tutaj jest mój script Wink
Edytowany przez qrs dnia 06-02-2015 18:59
---
Netgear R7000 • Netgear WNR3500L v2 • MikroTik hAP ac^2 • TP-LINK M7650
 
Przejdź do forum
Zaloguj
Wprowadź adres e-mail lub nazwę użytkownika

Hasło



Nie masz jeszcze konta? Zarejestruj się.

Zapomniałeś/aś hasła?
Aktualnie online
· Gości online: 27

· Użytkowników online: 0

· Łącznie użytkowników: 24,117
· Najnowszy użytkownik: Ja
Czat
Musisz się zalogować, aby opublikować wiadomość.

tamtosiamto
23-04-2024 12:35
modem bez smilocka?

man1
22-04-2024 23:27
Czy próbował ktoś uzywac karty voice (z nolimit GB) od tmobile w modemie /routerze? Da się jakoś to zrobić? Bo u mnie neta brak. E3372 Sad

tamtosiamto
31-03-2024 12:54
Wesolego jajka wszytskim forumowiczom Grin

tamtosiamto
28-03-2024 23:24
tak, tak zgadza sie, ale ja pytam o wykluczenie noda na guest network w first set, i to nie dziala

Adooni
24-03-2024 13:16
Guest network is currently designed to allow the first set of each band (2.4G, 5G, 5G-1) available to the AiMesh node

tamtosiamto
24-03-2024 03:03
ale w 1 jest opcja do wyboru - dla calej sieci albo rutera only i wlasnie o tym mowie, ze nie dziala

Adooni
23-03-2024 16:31
w dokumencie asusa jest ze wlasnie dla 1 ma dzialac na nodach tez

tamtosiamto
23-03-2024 15:39
tak, ale nie zmienia to faktu, ze w pierwszej nie dziala wylaczanie aimesh dla goscinnej( a powinno), czyli jest jakis bug. Mam start soft, bo to dsl-ac68 ktory nie jest juz updateowany

Adooni
22-03-2024 18:07
nie, 1 wsza bedzie wszedzie trzeba 2ga zrobic dla kazdego pasma te nie sa przenoszone

tamtosiamto
19-03-2024 19:57
czyli jak mam jedna siec goscinna to powinno dzialac separowanie gosci od noda -a nie dziala Smile
71,328,648 unikalnych wizyt
Copyright © OpenLinksys 2006-2021


Powered by PHPFusion Copyright © 2024 PHP Fusion Inc
Released as free software without warranties under GNU Affero GPL v3.