msn novo 1 x 0 {iptables + squid}

[Edilmar]

Ola,

Tenho um servidor Fedora 7 com os segtes softwares:
- kernel: 2.6.23.12-52.fc7
- squid: squid-2.6.STABLE16-2.fc7
- iptables: iptables-1.3.8-6.fc7

Minha rede deve permitir que todo mundo acesse o MSN menos um usuario (IP = 192.168.0.171). Contudo, todo mundo, inclusive o 171, esta acessando...

Meu script de firewall tem estas regras:

iptables -t filter -A FORWARD -s 192.168.0.171 -p tcp --dport 1863 -j REJECT
iptables -t filter -A FORWARD -s 192.168.0.171 -d messenger.msn.com -j REJECT
iptables -t filter -A FORWARD -s 192.168.0.171 -d webmessenger.msn.com -j REJECT
iptables -t filter -A FORWARD -s 192.168.0.171 -d login.passport.net -j REJECT
iptables -t filter -A FORWARD -s 192.168.0.171 -d loginnet.passport.com -j REJECT

No squid.conf:

acl acessar_MSN src 192.168.0.0/24
acl naoacessar_MSN src 192.168.0.171/32
acl regra_MSN1 dstdomain "/etc/squid/msn1.txt"
acl regra_MSN2 url_regex "/etc/squid/msn2.txt"
acl regra_MSN3 url_regex -i /gateway/gateway.dll

e depois tem tambem:

http_access allow acessar_MSN
http_access deny naoacessar_MSN regra_MSN1
http_access deny naoacessar_MSN regra_MSN2
http_access deny naoacessar_MSN regra_MSN3

sendo que o arquivo msn1 contem a lista de sites que o MSN costuma usar e msn2.txt contem x-msn.

O que sera que esta faltando na minha configuracao?

Agradeco a ajuda...

[lucianogf]

experimenta colocar uma regra em PREROUTING bloqueando o msn antes da regra de redirecionamento para o proxy

[Edilmar]

Tentei fazer esta regra antes do redirect pro squid, de forma a mudar para uma porta invalida:

iptables -t nat -A PREROUTING -s 192.168.0.171 -p tcp --dport $MSN -j REDIRECT --to-port 65535

e o status do firewall ficou assim em um trecho do nat:

-------------------------------
Listar configuracao: nat ...
-------------------------------
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
REDIRECT   tcp  --  192.168.0.171        anywhere            tcp dpt:msnp redir ports 65535
REDIRECT   tcp  --  192.168.0.0/24      !200.201.174.0/24    tcp dpt:http redir ports 3128

Mesmo assim esta conectando...

[lucianogf]

tente bloquear por string..

[Edilmar]

Eu nao tenho instalado aqui aquele modulo que bloqueia por string no iptables, pois nao quiz recompilar o kernel com suporte para isso. Ate porque ja me falaram o servidor comeca a ficar bem lento.

[zenun]

Olha cara... a melhor forma de bloquear o msn é recompilar seu kernel com suporte a layer7!