iptables => IP-Listen heruntenladen & automatisch reinladen

[TobWen]

Hallo Leser des Forums,

ein Kollege hat Kinder (11 und 13 Jahre), die mit ihrem Computern täglich für 2 Stunden ins Internet dürfen.

Da er sie nicht immer "bewachen" kann und nicht möchte, dass sie ungewollt auf irgendwelchen Porno-Seiten landen, haben wir uns gefragt, ob es nicht möglich wäre, aktuelle IP-Listen automatisch in die iptables-Firewall zu laden.

Er verwendet die neueste "ds-mod"-Firmware an einer 7050.

Ich habe jetzt leider nicht die korrekte Liste zur Hand, aber sie sind in diesem Format:
http://home.broadpark.no/~vrjo/bluetack/ads-trackers-and-bad-pr0n.txt (plain text)
http://home.broadpark.no/~vrjo/bluetack/ads-trackers-and-bad-pr0n.gz (gepackt)
http://www.saunalahti.fi/zolord/bluetack/spyware.txt (plain text)
http://www.saunalahti.fi/zolord/bluetack/spyware.gz (gepackt)

Könnte man sie nicht einfach per WGET runterladen und in die IPTables packen?
Kenne mich zwar in Linux aus, bin aber kein Freak - kann jemand helfen?

Ich denke nicht, dass "iptables" die Listen oben direkt verarbeiten kann.
Wäre aber kein Problem. Dann schreibe ich ein PHP-Script auf meinem "echten" Webspace.
Dieses Script könnte dann per wget aufgerufen werden und eine Konfigurationsdatei zurücksenden.

Aber ist es generell möglich, das so zu machen?

Vielen Dank
Tobias

 

[danisahne]

Das ist möglich. Du benötigst iptables und das Match-Modul iprange. Die Datei trennt ja schön die IP Ranges (welche im richtigen Format für iptables sind) mit dem Trennzeichen ':'

Allerdings halte ich es für sinnvoller, sich mit den Kindern persönlich zu beschäftigen und auch gemeinsam ins Internet zu gehen. Das ist die selbe Debatte wie mit Computerspielen: Den Kindern über die Schultern schauen, interesse dafür zeigen, was sie da machen, mit ihnen darüber reden (man muss ja nicht ständig da sein, ich meine nicht als Aufpasser). Ein Kind, das alleine vor dem PC sitzt findet früher oder später Porno Seiten, da es naiv ist zu denken, alle Porno Seiten des Internet mit einer Blacklist aussperren zu wollen. Davon gibt es einfach zu viele.

Mfg,
danisahne

 

[TobWen]

Allerdings halte ich es für sinnvoller, sich mit den Kindern persönlich zu beschäftigen und auch gemeinsam ins Internet zu gehen.

Ja, das sehe ich in der heutigen Zeit ähnlich. Wenn ich daran denke, wie Kinder in Japan mit der Sexualität aufwachsen (und was die alleine im TV haben, ist in Deutschland verboten) ...

Das ist möglich. Du benötigst iptables und das Match-Modul iprange. Die Datei trennt ja schön die IP Ranges (welche im richtigen Format für iptables sind) mit dem Trennzeichen ':'

Kannst du mir dazu ggf. mehr Informationen liefern?
Mich interessiert die Sache trotzdem noch )

Nachtrag:
Kann man die IP-Blockaden denn nicht auch via AR7.cfg machen? Dann könnte man sogar sagen, für welchen Rechner im Netzwerk ein IP-Zugriff verboten wäre. PHP-Script könnte man ja einfach schreiben, was die AR7-Datei erstellt.

 

[TobWen]

Habe alles hinbekommen und es funktioniert super!

Habe gerade die IP-Listen neu zusammengestellt: Fast 18.000 Einträge.
1,3 MB - total krank! Hinzufügen via Script dauert bis jetzt 3 Stunden!!

Nebenbei kann man aber kaum noch surfen, scheint als sei die 7050 total überlastet. Ist die Fritzbox immer so langsam??

 

[danisahne]

Vergiss es, die Liste ist viel zu groß! Für so viele Regeln brauchst du mehr Rechenleistung und mehr Arbeitsspeicher. Die Regeln müssen dann ja alle mindestens einmal pro Verbindungsaufbau durchlaufen werden.

Zur Performanz der Fritzbox: Hast du gedacht du hast einen Desktop Rechner vor dir? Deine Fritzbox hat eine Taktfrequenz von 150 Mhz. Keine Ahnung, ob man die Leistung mit einem Pentium 133 vergleichen kann.

Mfg,
danisahne

 

[TobWen]

DSP-Leistung kann man normalerweise nicht mit der Leistung von Desktop-Computern vergleichen ...

Schade, dann steht die Box jetzt zum Verkauf. Ab zu eBay.

 

[danisahne]

DSP-Leistung kann man normalerweise nicht mit der Leistung von Desktop-Computern vergleichen ...

DSP-Leistung? Die iptables Firewall wird von einem waschechten MIPS-Prozessor verarbeitet. Welchen DSP meinst du?

EDIT: Du wirst kein embedded-Gerät finden, das dir viel mehr Leistung bringt. Ist als DSL Router auch nicht nötig und wird mit einer niedrigen Leistungsaufnahme unter 10 Watt belohnt.

 

[TobWen]

Sorry, ich arbeite für die Musikindustrie und bei uns stecken überall DSPs mit hochoptimierter Software drin

Stimmt, da hast du Recht. Wird er wohl doch nicht um das Gespräch rumkommen.

Trotzdem: Geile Mod hast du da gebastelt!!

 

[maceis]

Grundsätzlich teile ich die Ansicht von danisahne, was den Umgang mit den Kindern angeht. Den Versuch soziale Aufgaben/Probleme mit technischen Mitteln lösen zu wollen muss man ja IMO immer sehr kritisch hinterfragen.

Was die techniche Seite angeht:
Spricht etwas dagegen, die Filterung auf den PC's zu machen? Mit Windows kenne ich mich zu wenig aus, um da konkrete Vorschläge zu machen.
Unter Linux und OS X könnte man sogar Deine IP Listen verwenden.

 

[TobWen]

unter Windows auch ... einfach in eine Firewall oder in PeerGuardian / Protowall rein

nur ich weiß, wie ich mit 11/13 Jahren war ... und heute ist es noch krasser
ein kleiner Dienst ist schnell ausgeschaltet oder deaktiviert