iptables string 模块不能作用与samba服务？

webfox

我想实现 禁止用户往samba服务器上写入 rmvb文件
于是，我把IPTABLES打了STRING补丁后，并且成功打上。

在系统中应用  iptables -A INPUT -m string --string "rmvb" -j DROP

iptables -A INPUT -m string --string "*.rmvb" -j DROP

iptables -A INPUT -d 192.168.1.100/32 -m string --string "*.rmvb" -j DROP

等规则，并且IPTABLES -nL上都能看到。

但用户仍然能写入 rmvb文件。
请问有何解决方法？

platinum

“*.rmvb”做字符串匹配？
你认为用户访问 samba 的时候，数据包里会出现“*.rmvb”的字样吗？
“.rmvb”倒是有的，“*.rmvb”这样的文件名还没见过
string 的匹配是“完全匹配”，不支持通配符和正则式

你做两个试验好了
iptables -A INPUT -m string --string ".rmvb" -j DROP
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -m string --string ".rmvb" -j DROP
看哪个能实现？

webfox

iptables -A INPUT -m string --string ".rmvb" -j DROP
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -m string --string ".rmvb" -j DROP
仍然是可以写入的,不过速度明显减慢了,同一个文件.原来要2分钟的,现在要15分钟才能完成.

platinum

如果这样呢？
iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -d IP -p tcp --dport 139 -m staring --staring "rmvb" -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -j CONNMARK --save-mark
iptables -I INPUT -m mark --mark 1 -j DROP

如果还不行，我建议你用 l7filter，然后自己写一个关于 rmvb 文件的正则

webfox

我刚刚试过 完全匹配都不起作用，不知为什么。
我加入
iptables -A INPUT -m string --string "02.rmvb" -j DROP
iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -m string --string "02.rmvb" -j DROP
我就是写入02.rmvb文件，但还是能写入。

platinum

或者你试试 l7filter
如果 samba 不是明码传输，这种方式来阻止就不要想啦
记得 samba 的配置文件里有阻止某种后缀文件的方法，具体不记得了

frankzh

试下 在smb.conf里

1. veto files = /*.rmvb/

复制代码

后重起你的samba服务

采风

好像就是把rmvb文件隐藏起来了

webfox

[quote]原帖由 "frankzh"]后重起你的samba服务[/quote 发表：


这个我试过了的.
这个的意思是让用户看不见那些文件,但他还是可以写入的,只不过写入后他也看不见而已.这种情况,用户会不断重复地重新写入.

iamshiyu

长见识