Как применить правила ipfw к доменам, разрешающим несколько IP-адресов?

395
GJ.

Предположим, я хотел использовать ipfw, чтобы ограничить загрузку на YouTube. Загрузка выполняется на upload.youtube.com, но этот домен разделяется на несколько разных IP-адресов (которые также со временем меняются).

Попытка создать правило для домена приводит к результатам (просмотренным ipfw list) в записи, связанной только с первым IP-адресом, к которому разрешен домен.

Как я могу заставить свое правило автоматически применяться к домену со всеми его IP-адресами, а также будущими IP-адресами, к которым он будет разрешен?

2

1 ответ на вопрос

0
0xDAFACADE

Учитывая, что ipfw работает на Уровне 3, это практически невозможно (за исключением ручного поиска каждого IP-адреса upload.youtube.com).

pf с другой стороны, выглядит так, как будто бы отлично справляется со своей задачей, так как позволяет сопоставлять данные по домену как в источнике, так и в месте назначения, а также использует очереди для ограничения скорости передачи трафика, устанавливая определенные скорости (очереди на основе классов) или по приоритету. (приоритетные очереди).

Ваш синтаксис будет зависеть от того, какая у pfвас установлена конкретная версия (которая, очевидно, сильно варьируется от BSD к BSD и от версии к версии поверх всего). Здесь вы можете найти устаревшую статью, которая должна, по крайней мере, помочь с концептуальной стороной того, что вы делаете, но, в конечном счете, man pfэто то, что вам нужно, чтобы выяснить точный синтаксис. Несколько примеров конфигурационных файлов находятся здесь . Удачи.

Этот ответ, конечно, предполагает, что вы используете вариант BSD, что, я полагаю, связано с вашими попытками использования ipfw. Похоже, что это не вариант для Linux, поэтому, если мои предположения неверны, не убивайте себя, пытаясь найти его. Shorewall сделает трюк с Linux в случае необходимости. 0xDAFACADE 9 лет назад 0
После того как я разработал этот ответ, я наткнулся на [это] (http://lists.freebsd.org/pipermail/freebsd-questions/2010-June/217827.html). Похоже, что вы, в конце концов, сможете справиться с этим с помощью ipfw, пропустив свой трафик через snort_inline. После нескольких часов охоты на это я оставлю это вам или кому-то еще, чтобы выяснить детали, но решил, что стоит упомянуть, если вы действительно привязаны к ipfw и переход на pf не вариант. 0xDAFACADE 9 лет назад 0

Похожие вопросы