Jak ustawić iptables, by pozwalało na http://bing.com, ale nie na https://bing.com?

-A OUTPUT -d bing.com -j DROP – działa: Blokuje bing.com po http i po https.

No dobrze, to teraz modyfikuję powyższe by blokowało tylko https:

-A OUTPUT -d bing.com -dport 443 -j DROP – nijak nie działa, nie blokuje bing.com nawet po https.

Co robię źle?

Nie możesz tego zrobić w nakładce ufw tylko tak sobie utrudniać życie z tym badziewnym iptables, które bije na głowę proste pf z FreeBSD?

@Samiec Terror
Dlaczego sam iptables?

• Mniejszy wektor ataku
• Lepsza kontrola w zaawansowanych przypadkach
• Na produkcji nie iptables zawsze jest, a nakładki nie koniecznie

Do domowych zastosowań faktycznie można sobie jakąś nakładkę użyć, ale w domowych zastosowaniach to i tak reguł masz mało.

@kmph
Https nie musi iść po tym porcie więc bezpieczniej jest sprawdzić CA certyfikatu SSL.
Wtedy też wystarczy jedna reguła.
iptables -t filter -I INPUT -m string
--string www.bing.com --algo bm -j REJECT

@Mały Młot

Dlaczego INPUT? Przecież ja nie chcę, żeby mój komputer łączył się z bing.com, a nie żeby bing.com nie łączył się z moim komputerem? (Ja to ustawiam na PC a nie na routerze)

-A OUTPUT -m string --string www.bing.com --algo bm -j DROP – blokuje i po http, i po https. A ja bym bardzo chciał, żeby http przepuszczało.

-A OUTPUT -m string --string www.bing.com --algo bm -dport 443 -j DROP – ten sam cyrk, nie blokuje niczego.