能否在网关上实现数据传输只进不出

ssffzz1

时刻要记住，流量永远是双向的。

ssffzz1

原帖由 zhangtm_1 于 2007-5-21 16:06 发表于 6楼  

知道流量是双向的,但比如说浏览网页,从TCP连接来说进来的报文携带数据,而出去的报文只是一个确认回复,
如果向外面传送数据,则出去的报文携带数据,依据这个可以做到把出去的携带数据的报文拦截下来.

这么说也可以，但是有时候出去的包不仅仅是一个确认，譬如浏览网页的时候至少要有HTTP协议的命令信息。这远远的大于了10B个字节。
不过LINUX是可以根据包的长度来转发信息的。但是你要选择好你的包的长度大小。不过这是很困难的，有时候上传数据的包也可以很小。而有时候必须通过的包却很大。


也许你从应用层网关上面考虑可以解决。

ssffzz1

呵呵，看一下置顶的IPTABLES帖子。
不建议你用长度来控制。

我说过用应用层网关，但不知道你具体的需求。

ssffzz1

原帖由 zhangtm_1 于 2007-5-21 17:40 发表于 11楼  
具体需求是不让网内发贴,聊天,网络游戏,只让浏览网页,下载数据.

这也不难，在SQUID中设置过滤规则，过滤掉IP地址方式上网，过滤掉chat bbs等聊天、BBS的关键字。
至于网络游戏吗，你的LINUX网关不开转发服务，只做成SQUID代理。在SQUID代理中封掉CONNECT方法。一切都解决了。

ssffzz1

原帖由 zhangtm_1 于 2007-5-21 19:18 发表于 13楼  

这个方法能够起到一定的抑制作用,但用过滤ip的方法仍然能过发贴,在SQUID代理中封掉CONNECT就不能下载数据了

我说的过滤IP方式上网，是在SQUID中做过滤，防止过滤掉域名上网的人再用IP上。
你对CONNECT的方法理解有错误，在SQUID中封掉CONNECT方法，仅仅是不能让SQUID做其他协议的代理，譬如QQ的HTTP代理。
“方法”在SQUID中有专门的含义，并不是我们生活中传统的方法所代表的含义。譬如SQUID在做数据类传输的代理的时候用的是CONNECT方法。

ssffzz1

原帖由 cbchen 于 2007-6-7 15:05 发表于 22楼  
至于http，可以通过自己写模块来限制只能get,不能post,但是对于其他的应用就不好弄了．．．．

不需要写，在SQUID中已经有了。