linux防火墙如何实现基于域名的应用

yuzifu

要求：LAN IP各自有允许访问的域名
      域名无固定IP
         通讯协议包括但不限于http，ftp

根据上述要求，在应用规则时使用查询dns得到的ip来替代域名是行不通的。
使用dns server也是行不通的，原因是dns查询要结合lan ip来判断是否允许
使用web proxy还是行不通，因为通讯协议超过了web proxy的工作协议范围。

有什么办法可以达到要求呢？

marsteel

没看懂你在说什么，能否举个例子？

yuzifu

原帖由 marsteel 于 2009-7-16 14:35 发表
没看懂你在说什么，能否举个例子？

不好意思，表述能力有限。

假若192.168.0.6这个IP只能跟www.test.com(无数IP)这个地址通讯，包括http,ftp,voip,smtp.pop,imap等等
而192.168.0.5这个IP只能跟www.domain.com（无数IP）这个地址通讯。

如果把www.test.com和www.domain.com写入规则里，那么在规则生效时，iptables会根据dns查询出www.test.com和www.domain.com的IP，并替换到规则里的域名。所以当www.test.com变化IP时，规则里的IP还是旧的，因此行不通。

波西咪亚

kennyecust

for ip in `host www.test.com|grep address|awk '{print $4}'`;do iptables -A OUTPUT -d $ip -j ACCEPT;done

kennyecust

crontab里加定时任务 一分钟执行一次