如何使用 iptables 阻止 https 网站

Question

我想屏蔽一些 https 网站，比如 youtube.com、facebook.com。

我知道我们无法使用 url 规则阻止它。因为网址是加密的。

所以我试图阻止所有包含我想要过滤的域的 DNS 查询。所以我添加了以下规则：

iptables -A OUTPUT -p udp --dport 53 -m string --domain yahoo.com -j DROP

但是youtube继续运行。但是在一段时间不活动（大约 15 分钟）后，youtube 被阻止了。

有什么解释吗？

如何强制立即阻止 youtube？

Answer 1

你的做法会有效果，但是有几个问题：

• 浏览器和操作系统缓存 DNS 查找。每次加载站点时，它们不一定会导致完整的 DNS 查找。

• 如果 DNS 被阻止（例如联系其自己的 DNS 服务器），某些浏览器可能会尝试替代方法，因为它们认为存在网络问题。谷歌浏览器可能会这样做。

• 谷歌浏览器和其他浏览器可能很快就会实现“DNS over HTTPS”，这意味着对端口 53 做任何事情都不会产生任何影响，因为它根本不会将其用于 DNS。

• 在 Youtube 的 IP 地址由于某种原因发生变化之前，通过 IP 地址阻止将工作一段时间。

• 精明的用户可能会更改 DNS 服务器，除非您在系统上以管理方式阻止了该功能。

如何强制立即阻止 youtube？

做你想做的“正确”的方法是建立一个“中间人”透明的HTTPS拦截代理，可以过滤HTTPS流量。然后告诉代理阻止其中包含的任何 URL youtube.com。

youtube.com正如您可能已经发现的那样，您不能只是简单地在 443 上查找，因为它是加密的。

您可以在本地机器上使用 Burp Proxy 来查看它的工作原理 - 它用于测试，但不管理许多用户的流量。但将使您能够学习概念。

您必须在使用代理的每台计算机上安装代理的 SSL 证书以避免安全警告。