URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 2779
[ Назад ]

Исходное сообщение
"Фильтрация на уровне приложения."

Отправлено mdanshin , 27-Июн-06 12:01 
Господа, а можно ли на Linux с использованием таких средств как iptables или ipset реализовать фильтрацию пакетов на уровне приложений. Например что бы пакеты от Internet Explorer реджектились, но что бы 80-ый порт был открыт для других приложений?

Содержание

Сообщения в этом обсуждении
"Фильтрация на уровне приложения."
Отправлено Slimm , 27-Июн-06 13:54 
>Господа, а можно ли на Linux с использованием таких средств как iptables
>или ipset реализовать фильтрацию пакетов на уровне приложений. Например что бы
>пакеты от Internet Explorer реджектились, но что бы 80-ый порт был
>открыт для других приложений?

http://kem.p.lodz.pl/~peter/qnet/


"Фильтрация на уровне приложения."
Отправлено mdanshin , 27-Июн-06 14:25 
>>Господа, а можно ли на Linux с использованием таких средств как iptables
>>или ipset реализовать фильтрацию пакетов на уровне приложений. Например что бы
>>пакеты от Internet Explorer реджектились, но что бы 80-ый порт был
>>открыт для других приложений?
>
>http://kem.p.lodz.pl/~peter/qnet/
Прошу прощения, но это очень общая ссылка. единственное, что я нашел по своей проблеме это http://l7-filter.sourceforge.net/ Это оно или я что то пропустил?

"Фильтрация на уровне приложения."
Отправлено perece , 29-Июн-06 15:05 
>Господа, а можно ли на Linux с использованием таких средств как iptables
>или ipset реализовать фильтрацию пакетов на уровне приложений. Например что бы
>пакеты от Internet Explorer реджектились, но что бы 80-ый порт был
>открыт для других приложений?
В общем случае это невозможно в принципе, т.к. информация о том, что за клиент пройдет только после успешного установления tcp-соединения. однако rst-ить соединение по факту обнаружения "запрещенной подстроки" - это можно.
однако, если речь идет о http конкретно, то проще поставить squid в режиме transparent proxy и резать иЁ уже на сквиде (там юзерагента в кляузе acl указывать можно). так и надежнее будет. (а то я выкрутив MTU передающей сеевой карточки так, что фраза User agent: ... в HTTP-каголовке на два пакета разобьются легко такое ограничение обойду)