Redirecionar range para página com exceções

Olá para todos.

O quadro é o seguinte: a empresa em questão necessita q todos sejam direcionados ao abrir o browser para o sistema da empresa que está hospedado nesse próprio servidor e alem do sistema seja liberado o acesso ao site da empresa. Consegui criando a seguinte regra no iptables:

/sbin/iptables -t nat -A PREROUTING -p tcp -s 10.0.0.0/24 -d ! EMPRESA.COM.BR -j DNAT --t0-destination 10.0.0.254

Até aí tudo funcionou bem, só que agora querem liberar o acesso tambem ao google e ao yahoo. Alguem tem alguma idéia????

Muito obrigado.

Bom cara eu faria (pelo menos tentaria) isso colocando as regras das exceções antes desta!
Claro que a politica padrão da chain deve estar para DROP!
Ai você só libera o que precisar! Já tentou isso?

Boa noite,

Na verdade eu não fechei nada....apenas redirecionei tudo que vem dá rede com qualquer destino diferente a EMPRESA.COM.BR para o sistema hospedado no apache do prorio server.
Tentei adicionar a uma regra de MASQUERADE antes da regra de redirecionamento mas não deu certo. Como seria a regra para liberar acesso que vc sugeriu????

Olá amigo!

Então eu acho que não é o caso de fazer um MASQUERADING!

Você poderia ter assim:
Código :

/sbin/iptables -t nat -A PREROUTING -p tcp -s 10.0.0.0/24 -d [U]google.com[/U] -j ACCEPT /sbin/iptables -t nat -A PREROUTING -p tcp -s 10.0.0.0/24 -d [U]yahoo.com[/U] -j ACCEPT /sbin/iptables -t nat -A PREROUTING -p tcp -s 10.0.0.0/24 -d ! [URL="http://www.empresa.com.br/"]EMPRESA.COM.BR[/URL] -j DNAT --t0-destination 10.0.0.254
Primeiro eu tentaria dessa forma! Se não der tenta colocar esses ACCEPTs na chain FORWARD tabela filter!

Amigo, você já pensou na idéia de fazer isso via proxy?
Você criaria uma ACL para os sites liberados e nele adicionaria:

empresa.com.br
google.com
google.com.br
yahoo.com
yahoo.com.br

Eu já fiz algo parecido e funcionou, creio que vai resolver o seu problema.

Mas o que vai acontecer é o seguinte, o usuário vai acessar o google, fazer uma pesquisa, quando ele for abrir o site da pesquisa vai negar. Bom, mas isso já está fugindo do assunto que você perguntou. Não sei a idéia do pessoal, mas com proxy você consegue fazer.

Abraço