Skype e Iptables

[djskolman]

Boa Noite pessoal, será que eu alguem pode me ajudar. Estou apanhando um pouco com meu script do Iptables.

Acontece que eu quero bloquear o skype na empresa, mas quero que algum IPs seja liberado.

Hoje no meu script eu tenho uma lista de IPs que saem fora do squid e gostaria que esses mesmo IPs conseguisse usar o skype.

Então fiz algo do tipo:

iptables -N SKYPE
iptables -I FORWARD -m string --algo bm --string "skype.com" -j DROP
#iptables -A FORWARD -p tcp --dport 39856 -j REJECT
iptables -I FORWARD -s $REDE_INTERNA -j SKYPE

        for skp in ${ips[ @ ]} (eu coloque um espaço entre o [ e o @ pro forum não transformar em um simbolo)
        do
        iptables -I SKYPE -s $skp -j ACCEPT
        done

for i in `cat /etc/skype`;do

        iptables -A SKYPE -d $i -j DROP
        iptables -I FORWARD -s $i -j DROP
done

Onde os IPs está listando os ips liberado. Mas não libera. Ta bloqueando todo mundo.

Será que alguém pode me ajudar? Obrigado.

[zekkerj]

Mude a ordem de suas regras, coloque a regra que bloqueia todos depois do loop onde vc libera alguns.

[djskolman]

Ficaria assim?

iptables -N SKYPE

        for skp in ${ips[ @ ]}
        do
        iptables -I SKYPE -s $skp -j ACCEPT
        done

iptables -I FORWARD -m string --algo bm --string "skype.com" -j DROP
iptables -A FORWARD -p tcp --dport 39856 -j REJECT
iptables -I FORWARD -s $REDE_INTERNA -j SKYPE

for i in `cat /etc/skype`;do

        iptables -A SKYPE -d $i -j DROP
        iptables -I FORWARD -s $i -j DROP
done

[zekkerj]

Sim. Inclusive, acredito que esse segundo loop seja desnecessário, uma vez que vc já bloqueia a string antes.

[djskolman]

Como segundo Loop, você quer dizer isso?

for i in `cat /etc/skype`;do

        iptables -A SKYPE -d $i -j DROP
        iptables -I FORWARD -s $i -j DROP
done

Se for, nesse caso, ele restringe uma série de IPs do Skype que está no arquivo /etc/skype.

Será que não é necessario?

[djskolman]

Sim. Inclusive, acredito que esse segundo loop seja desnecessário, uma vez que vc já bloqueia a string antes.

Obrigado pela dica Zekkerj. Eu consegui. Fui na tentativa e erro e acabei conseguindo dessa forma:

iptables -N SKYPE

        for skp in ${ips

• }
          do
          iptables -I SKYPE -s $skp -j ACCEPT
          done
  
  iptables -I FORWARD -m string --algo bm --string "skype.com" -j DROP
  iptables -A FORWARD -p tcp --dport 39856 -j REJECT
  iptables -I FORWARD -s $REDE_INTERNA -j SKYPE
  
  for i in `cat /etc/skype`;do
  
          iptables -A SKYPE -d $i -j REJECT
  done