iptables: mehrere MAC-Adressen als Quelle angeben?

[RaginRob]

Hallo zusammen,

ich bastel gerade an meiner iptables-Firewall und würde gerne wissen, ob ich meine Regeln nicht ein wenig platzsparender definieren kann. Konkret geht es um folgendes: ich habe in meinem Netzwerk einen Linuxrechner als Router laufen, daran hängen mehrere Clients und gehen genattet ins Internet. Damit die Clients keinen Mist bauen, möchte ich u.a. bestimmte Webseiten (genauer: Domains) sperren und auf eine Warnhinweisseite auf dem lokalen Apache umleiten. So, dass beim Aufruf von z.B. movie2k.to meine Warnseite zu sehen ist.

Soweit klappt eigentlich alles, die Sperre greift und die Clients landen beim Aufruf einer gesperrten Seite auf meinem Webserver auf Port 81, wo die Warnseite liegt.

Hier ist die Regel dafür (Auszug):

Code: Alles auswählen

iptables -t nat -A PREROUTING -i eth0 -m mac --mac-source 00:0d:60:37:b3:1b -p tcp --dport 80 -d 193.99.144.85 -j DNAT --to 192.168.0.250:81

Wie zu sehen ist werden die gesperrten Clients über die MAC-Adresse identifiziert und die zu sperrende Webseite über die IP.

Kann ich:

1. mehrere MAC-Adressen in einer Regel angeben, wenn ja, in welchem Format?
2. mehrere IP-Adressen hinter -d, wenn ja, in welchem Format?
3. eine Liste mit IP-Adressen oder Hostnamen erstellen, damit ich diese hinter -d einbinden kann?

Das würde meine Tabellen wesentlich kleiner machen und vor allem einfacher zu verwalten. Danke für eure Tipps!

[wilfried]

versuchs mal so:
eine mac_addressen.list anlegen

Code: Alles auswählen

for MAC in `cat mac_addressen.list`; do
  iptables -t nat -A PREROUTING -i eth0 -m mac --mac-source  $MAC -p tcp --dport 80 -d 193.99.144.85 -j DNAT --to 192.168.0.250:81
done

event. wäre squid und squidguard besser für deine Zwecke geeignet?!

[Gunman1982]

versuchs mal so:
eine mac_addressen.list anlegen

Code: Alles auswählen

for MAC in `cat mac_addressen.list`; do
  iptables -t nat -A PREROUTING -i eth0 -m mac --mac-source  $MAC -p tcp --dport 80 -d 193.99.144.85 -j DNAT --to 192.168.0.250:81
done

Bei dieser Lösung ist zu beachten das sofern die mac_adressen.list geändert wird auch nochmal das firewall script laufen lässt.