Como falhar rapidamente com o iptables?

Question

Inspirado pelo Pi-hole eu configurei o meu próprio.

O que faz:

1. O Pi-hole é configurado como um IP dedicado na minha rede local em um adaptador virtual do Raspberry Pi.
2. Obtenha uma lista de nomes conhecidos de spam / phishing / servidor de anúncios.
3. Use o dnsmasq como um DNS local para resolver esses nomes de servidores para um IP local (também conhecido como o Pi-hole)
4. No pi-hole lighttpd, são exibidas páginas html vazias e imagens em pixels, em vez dos sites ou anúncios de phishing
5. Todos os navegadores da minha rede em computadores de mesa / smartphones / tablets se livram de um conteúdo indesejado

Essa abordagem tem o benefício de não impactar em coisas como VirtualHosts no mesmo IP de destino (original). Apenas bloqueia os anfitriões pelo nome. A desvantagem é que funciona apenas em casa ...

Essa configuração funciona bem para 99% dos cerca de 1,6 milhão de sites, mas alguns sites usam https ou portas diferentes, como 8080 , para armazenar seu conteúdo. Como o conteúdo vazio é apenas veiculado na porta 80 esses sites levam uma eternidade até eg. O Firefox desiste.

Para fazê-lo funcionar para todos e todo o tempo eu gostaria de parar de servir conteúdo para os dispositivos solicitantes e me livrar do lighttpd e adicionar algumas regras simples do iptables para que a conexão com o Pi-hole falhe rápido.

Como posso dizer à parte solicitante para desistir rapidamente? (Significa, como devem ser as regras para esse host especial.)

Alguma sugestão para uma boa abordagem?

    

Answer 1

Depois de brincar com iptables , sem muito sucesso, eu adotei uma abordagem completamente diferente:

Todas as consultas de DNS para nomes de servidores de spam / phishing / servidor de anúncios são respondidas com 0.0.0.0, por exemplo. o navegador detecta como não roteável e falha rapidamente.

    

Answer 2

Parece que você tem DROP como sua ação iptables padrão na cadeia INPUT . Altere-o para REJECT e ele falhará rapidamente.