服务器上有时候难免做些限制，比如说一个游戏加速器可能会禁止用来网站访问，但是问题来了，我们并不能简单的禁止一个80或者443来达到目的，因为有些游戏会从网站上去获取一些信息，比如现在最火的绝地求生大逃杀，吃个鸡却要先从一个网页进行登录，所以禁止80/443端口的方案我们可以直接否掉，奶牛的方法是用iptables进行关键词和网站过滤。

iptables过滤关键词网站的原理解读

INPUT,OUTPUT,FORWARD选哪个？

使用iptables过滤关键词和网站，我们需要对进出服务器的流量都进行过滤，当然也有人建议在传输层过滤，那奶牛就来谈谈自己的理解。首先INPUT,OUTPUT,FORWARD三个分别对应进、出、传输。如果我们在FORWARD过滤，应该可以达到预期效果，但是如果我们的服务器是用作转发的呢？比如一个请求发送过来，我们允许INPUT进入，然后我们的转发服务器会先将请求转发出去，再接收转发内容，最后在转发回程的过程中过滤拦截，这样子，服务器的流量带宽资源就会被浪费，也许你会说在接收到请求之后关键词和网站就已经过滤了，其实不然，很多关键词是包含在请求获得的内容中的，所以不可能在转发之前就过滤掉，我们需要的结果是在转发之前过滤掉。那么我们就用INPUT进行限制？通过实测，发现单单用INPUT也不能过滤干净，奶牛的理解是INPUT不会拒绝请求的结果，所以我们还需要和OUTPUT配合使用。

DROP,REJECT选哪个？

奶牛选择的是DROP。我们说说DROP和REJECT的区别，当我们使用REJECT的时候，如果拒绝请求，在iptables中输入

iptables -L -nv

可以看到拒绝的请求会reject-withicmp-port-unreachable，也就是会通过一个icmp包来告诉目标请求被拒绝了，这个资源也是属于浪费的，如果我们直接用DROP丢弃，则不会有这个回包。

iptables过滤关键词网站的方法

首先备份好我们的iptables规则，避免操作失误。备份和还原的命令如下：

iptables-save > iptables_origin_rules
iptables-restore > iptables_origin_rules

然后我们的规则这样写

iptables -A INPUT -m string --string "xxx.com" --algo bm --to 65535 -j DROP
iptables -A OUTPUT -m string --string "xxx.com" --algo bm --to 65535 -j DROP

其中的xxx.com就是关键词，可以写网站域名，也可以写关键词，但是关键词一定要想好，否则可能会导致很多东西都无法访问的。如果规则写错了，可以通过命令删除规则：

iptables -D INPUT -m string --string "xxx.com" --algo bm --to 65535 -j DROP
iptables -D OUTPUT -m string --string "xxx.com" --algo bm --to 65535 -j DROP

过滤需谨慎，特别是一些国cdn、公共库、ssl、dns等一定要谨慎处理，否则可能会导致很多服务无法访问严重后果。