หากคุณลดทราฟฟิกโดยใช้การจำแนกชื่อด้วยกฎ iptables ชื่อจะได้รับการแก้ไขในระหว่างการสร้างกฎนั้น หากมีอะไรเปลี่ยนแปลงกฎของคุณจะไม่สามารถใช้ได้อีกต่อไป นี่อาจเป็นวิธีแก้ปัญหา (ไม่ใช่ Beautyfull หนึ่ง ... ):
# iptables -I FORWARD -p udp --dport 53 -m string --hex-string "|03|www|08|facebook|03|com" --algo bm -j DROP
จากโฮสต์อื่นภายใน LAN:
# host www.facebook.com
www.facebook.com A record not found, try again
โดยพื้นฐานแล้วคุณกำลังพูดกับทุก ๆ dns แพ็กเก็ต ( udp/53) ที่มีสตริงเลขฐานสิบหกที่www.facebook.com toถูกทิ้ง โปรดทราบว่าการทำเช่นนี้จะทำให้การจำแนกชื่อล้มเหลวและไม่ใช่ปริมาณการรับส่งข้อมูล http
ตัวเลขฐานสิบหกที่คั่นด้วยไพพ์( |03|www|08|facebook|03|com) คือการแสดงของ dot .simbol บนเคียวรี dns มันจะบอกว่าจำนวนผู้ต่อไปนี้จะเป็นตัวแทนของแต่ละส่วนของFQDN (โฮสต์, โดเมน, โดเมนระดับบนสุด) ตัวอย่าง:
โฮสต์: mail.google.com
ตัวแทน hex: 04 6d 61 69 6c 06 67 6f 6f 67 6c 65 03 63 6f 6d
การแสดง "visual": 04mail06google03com
รับแพ็กเก็ตด้วย tcpdump:
# tcpdump -i eth0 -X dst port 53
15:50:11.643672 IP xxx.xxx.xxx.xxx:xxx > ns4.google.com.domain: 16530 A? mail.google.com. (33)
0x0000: 4500 003d 779a 4000 4011 b390 c949 4742 E..=w.@.@....IGB
0x0010: d8ef 260a 8424 0035 0029 0fc0 4092 0000 ..&..$.5.)..@...
0x0020: 0001 0000 0000 0000 046d 6169 6c06 676f .........mail.go
0x0030: 6f67 6c65 0363 6f6d 0000 0100 01 ogle.com.....
แต่จำไว้:
- หากคุณพยายามกรองการดูแลการแสดงโฆษณาที่เฉพาะเจาะจงมากขึ้นเช่น smtp, ftp หรือ http พร็อกซีของโปรโตคอลนั้นน่าจะดีกว่า
- คุณกำลัง "ไฮแจ็ก" เคียวรี DNS และไม่บล็อกโดเมน ผู้ใช้ไม่ได้โง่ขนาดนั้น)
แหล่งที่มา: ที่นี่และที่นี่