Lista Branca de IP's para acesso HTTPS (Resolvido)

[JORGE.INFORMATICA]

Bom Dia a todos,

##############################
# HTTPS - Lista Branca
##############################
iptables -I FORWARD -p tcp --dport 443 -j DROP
for URL in `grep -v "^#" /etc/https.wl`; do
iptables -I FORWARD -p tcp --dport 443 -d $URL -j ACCEPT
done

Como ficaria essa regra para liberar acesso por IP aos sites https e wwws, ao invés de liberar por URL's.??
Teria que criar algum arquivo também como no exemplo acima.

[tecjair]

Neste caso acho que você deveria digitar na lista: https://ip.do.servidor

[JORGE.INFORMATICA]

Bom dia pessoal,

Perdão mas eu não expliquei direito, na verdade eu queria liberar pela lista, IP's da minha rede para acesso https, e não IP dos servidores.
Seria como escolher quem poderia acessar esses sites, e não quais os sites.

[Marcos do Vale]

Script original usado pra MSN

Código: Selecionar todos

#Cria a chain msnblock
iptables -X msnblock
iptables -N msnblock
iptables -F msnblock
#Insere a chain como alvo nas conexões do msn
iptables -I FORWARD -d 65.54.0.0/16 -j msnblock
iptables -I FORWARD -d 207.46.0.0/16 -j msnblock
iptables -I FORWARD -p tcp --dport 1863 -j msnblock
iptables -I FORWARD -s 0/0 -d 0/0 -m layer7 --l7proto msnmessenger -j msnblock
#Insere as regras de aceitação na chain
iptables -A msnblock -s 192.168.0.100 -j RETURN
iptables -A msnblock -s 192.168.0.107 -j RETURN
iptables -A msnblock -s 192.168.0.201 -j RETURN
iptables -A msnblock -s 192.168.0.202 -j RETURN
iptables -A msnblock -s 192.168.0.2 -j RETURN
#Bloqueia pro resto
iptables -A msnblock -s 192.168.0.0/24 -j DROP

Script original de HTTPS de
viewtopic.php?f=2&t=66089&p=165383&hilit=https#p150186

Código: Selecionar todos

    ##############################
    # HTTPS - Lista Branca
    ##############################
    iptables -I FORWARD -p tcp --dport 443 -j DROP
    for URL in `grep -v "^#" /etc/https.wl`; do
      iptables -I FORWARD -p tcp --dport 443 -d $URL -j ACCEPT
    done
    ##############################

Adaptado para o que vc quer fazer:

Código: Selecionar todos

#Cria a chain https-block
iptables -X https-block
iptables -N https-block
iptables -F https-block
#Insere a chain como alvo nas conexões HTTPS
iptables -I FORWARD -p tcp --dport 443 -j https-block
#Insere as regras de aceitação na chain
iptables -A https-block -s IP_HOST_1 -j RETURN
iptables -A https-block -s IP_HOST_2 -j RETURN
iptables -A https-block -s IP_HOST_3 -j RETURN
#Bloqueia pro resto
iptables -A https-block -s IP_DA_SUA_REDE_INTERNA -j DROP

Abraço

PS.: Ganhou dois scripts numa resposta só: MSN e HTTPS

[JORGE.INFORMATICA]

Obrigado em dobro marcão.

[JORGE.INFORMATICA]

Bom dia a todos,

Consegui otimizar o script para adequar a minha necessidade.
Da forma como o Marcos enviou funciona bem, só que o ip inserido na regra de aceitação na chain..

Código: Selecionar todos

#Insere as regras de aceitação na chain
iptables -A https-block -s IP_HOST_1 -j RETURN...

fica liberado pra acessar tudo, e alguns ip's só podem acessar por ex: serasa, spc e receita federal, então modifiquei o script do bender

Código: Selecionar todos

    ##############################
    # HTTPS - Lista Branca
    ##############################
    iptables -I FORWARD -p tcp --dport 443 -j DROP
    for URL in `grep -v "^#" /etc/https.wl`; do
      iptables -I FORWARD -p tcp --dport 443 -d $URL -j ACCEPT
    done
    ##############################

Para:

Código: Selecionar todos

##############################
# HTTPS - Lista Branca
##############################
iptables -I FORWARD -p tcp --dport 443 -j DROP
iptables -I FORWARD -s 192.168.0.13 -p tcp --dport 443 -j ACCEPT
for URL in `grep -v "^#" /etc/https.wl`; do
iptables -I FORWARD -p tcp --dport 443 -d $URL -j ACCEPT
done
##############################

Onde 192.168.0.13 é o ip previlegiado que não passa pela regra de bloqueio https, e os demais só acessarão os sites inseridos em /etc/https.wl

Ou seja;

Totalmente Resolvido.

Abraço a todos

[Marcos do Vale]

Então temos mais um iniciado na arte dos scripts.
Sua missão agora é ajudar os demais.

[JORGE.INFORMATICA]

Então temos mais um iniciado na arte dos scripts.
Sua missão agora é ajudar os demais.

Estarei sempre a disposição.