Si elimina el tráfico utilizando la resolución de nombres con las reglas de iptables, los nombres se resolverán durante la creación de esa regla. Si algo cambia, tu regla ya no será válida. Esta podría ser una solución (no una hermosa ...):
# iptables -I FORWARD -p udp --dport 53 -m string --hex-string "|03|www|08|facebook|03|com" --algo bm -j DROP
Desde otro host dentro de la LAN:
# host www.facebook.com
www.facebook.com A record not found, try again
Básicamente, estás diciendo a cada paquete dns ( udp/53) que tiene la cadena hexadecimal de www.facebook.com toser descartada. Tenga en cuenta que esto eliminará la resolución de nombres, y no el tráfico http en sí.
Los números hexadecimales separados con tuberías ( |03|www|08|facebook|03|com) son la representación del .símbolo de punto en las consultas dns. Dirá cuántos de los siguientes caracteres representarán cada parte de un FQDN (host, dominio, dominio de nivel superior) Ejemplo:
anfitrión: mail.google.com
representación hexadecimal: 04 6d 61 69 6c 06 67 6f 6f 67 6c 65 03 63 6f 6d
"representación visual: 04mail06google03com
Obteniendo el paquete con tcpdump:
# tcpdump -i eth0 -X dst port 53
15:50:11.643672 IP xxx.xxx.xxx.xxx:xxx > ns4.google.com.domain: 16530 A? mail.google.com. (33)
0x0000: 4500 003d 779a 4000 4011 b390 c949 4742 E..=w.@.@....IGB
0x0010: d8ef 260a 8424 0035 0029 0fc0 4092 0000 ..&..$.5.)..@...
0x0020: 0001 0000 0000 0000 046d 6169 6c06 676f .........mail.go
0x0030: 6f67 6c65 0363 6f6d 0000 0100 01 ogle.com.....
Pero recuerda:
- Si está tratando de filtrar traffig más específicos como smtp, ftp o http, un proxy de ese protocolo debería ser mejor.
- Estás "secuestrando" consultas dns y no bloqueando el dominio. Los usuarios no son tan tontos;)
Fuentes: aquí y aquí