url_filter_load_rule()
{
config_get url $1 dest_str
if [ -z "$url" ];then
return
fi
cmd="iptables -t filter -I URL_FILTER -m string --algo bm --string "
cmd=$cmd$url
config_get mac $1 src_mac
if [ -n "$mac" ];then
cmdmac=" -m mac --mac-source $mac "
cmd=$cmd$cmdmac
fi
config_get starttime $1 start_time
config_get stoptime $1 stop_time
if [ -n "$starttime" ];then
cmdtime=" -m time --timestart $starttime --timestop $stoptime "
cmd=$cmd$cmdtime
config_get weekdays $1 weekdays
if [ -n "$weekdays" ];then
days=""
for day in $weekdays
do
days="$day,$days"
done
cmd="$cmd --weekdays $days"
fi
fi
config_get target $1 target
if [ "$taget" == "RETURN" ]; then
$cmd -j $target 2>/dev/null
else
$cmd -j DROP 2>/dev/null
fi
}
使用到的工具命令：nslookup 用于查询DNS的记录，查询域名解析是否正常，在网络故障时用来诊断网络问题。
使用url有两种方法：
方法一：
1、首先利用nslookup查看下url的IP地址；例如禁止www.baidu.com
2、使用nslookup将域名转换为IP地址后，使用IPtables命令将源IP禁止即可
使用iptables查看配置信息：
方法二：
使用字符匹配过滤方法，这也是常用的URL过滤：
-m state :-m 表示添加一个模块，states是IPtables的状态模块
-m string :字符串限定 –algo :字符串匹配算法，可使用的有kmp,bm。
url_filter_flush()
{
iptables -t filter -D FORWARD -j URL_FILTER 2>/dev/null
iptables -t filter -D FORWARD -i br-lan -j URL_FILTER 2>/dev/null
iptables -t filter -F URL_FILTER 2>/dev/null
iptables -t filter -X URL_FILTER 2>/dev/null
}
-X:删除使用者自订table项目，一般使用iptables -N xxx 新增自订 chain 后，可以使用 iptables -X xxx 删除之
-D：删除某一条规则
-F ：清除所有的已订定的规则
(-F 是清空指定某个chains内所有的rule设定。比方iptables -F -t filter,就是将filter table内所有的INPUT/OUTPUT/FORWAD chain 设定的规则都清空。)
-i :匹配从这块网卡流入的数据
-o :匹配从这块网卡流出的数据
–dport ：匹配目标端口号
–sport :匹配来源端口号
-j:选项指定规则目标
目标可以是用户自定义链：内建目标；或扩展
“iptables –[A|I 链] [-i|o 网络接口] [-p 协议] [-s 来源ip/网域] [-d 目标ip/网域] –j[ACCEPT|DROP]”
IPtables 开放网口与IP来源：
例：所有的来自lo这个网口的封包，都予以接受
iptables -A INPUT -i lo -j ACCEPT
例：目标来自192.168.1.200这个IP的封包都予以接受
iptables -t filter -I INPUT -i eth0 -s 192.168.1.200 -j ACCEPT
例：192.168.1.0/24可接受，但是192.168.1.10丢弃
iptables 规则记录
例：iptables -A INPUT -s 192.168.1.200 -j LOG
相关信息就会被写入到/var/log/messages中
iptables 开放tcp 、udp端口
例如：开放Samba端口（udp137、138；tcp139,445）
iptables -A INPUT -i eth0 -p udp –dport 137:138 -j ACCEPT
iptables -A INPUT-i eth0 -p tcp –dport 139 -j ACCEPT
iptables -A INPUT-i eth0 -p tcp –dport 445 -j ACCEPT
iptables匹配ICMP端口和ICMP类型
iptables –A INPUT –p icmp –icmp-type 类型 –j ACCEPT
参数：–icmp-type ：后面必须要接 ICMP 的封包类型，也可以使用代号，
例如 8 代表 echo request 的意思。（可自查询ICMP-type对应表）
Iptables –syn的处理方式
指定TCP匹配扩展
使用 –tcp-flags 选项可以根据tcp包的标志位进行过滤。
#iptables -A INPUT -p tcp –tcp-flags SYN,FIN,ACK SYN
#iptables -A FROWARD -p tcp –tcp-flags ALL SYN,ACK
上实例中第一个表示SYN、ACK、FIN的标志都检查，但是只有SYN匹配。第二个表示ALL（SYN，ACK，FIN，RST，URG，PSH）的标志都检查，但是只有设置了SYN和ACK的匹配。
#iptables -A FORWARD -p tcp –syn
选项—syn相当于”–tcp-flags SYN,RST,ACK SYN”的简写。
IPtables 状态模块
-m :一些iptables的模块，主要常见的有：
state:状态模块
mac:网络网卡硬件地址（hardware address）
–state : 一些封包的状态，主要有：
INVALID：无效的封包，例如数据破损的封包状态
ESTABLISHED：已经联机成功的联机状态
NEW ： 想要建立新的联机封包状态
RELATED：这个常用的，封包是与我们主机发送出去的封包有关
例：只要已建立或相关封包就予以通过，只要不合法封包就丢弃。
iptables –A INPUT –m state –state RELATED ESTABLISHED –j ACCEPT
iptables –A INPUT –m state –state INVALID –j DORP
例：对局域网内mac地址为00:0C:29:56:A6:A2主机开放其联机
iptables -A INPUT -m mac –mac-source 00:0C:29:56:A6:A2 -j ACCEPT
Iptables保存于恢复
iptables-save > /etc/sysconfig/iptables.20180606
iptables-restore < /etc/sysconfig/iptables.20180606
url_filter_init()
{
iptables -t filter -N URL_FILTER 2>/dev/null
iptables -t filter -I FORWARD -j URL_FILTER 2>/dev/null
iptables -t filter -I INPUT -i br-lan -j URL_FILTER 2>/dev/null
}
-N ：新建一个表
url_filter_set_default_drop()
{
iptables -t filter -I URL_FILTER -p tcp -m string –algo bm –string GET -j REJECT –reject-with tcp-rst 2>/dev/null
}