iptables 如何屏蔽代理访问？

[v1p]

一个明确为采集的IP段，用iptables屏蔽了（iptables -I INPUT -s 123.123.123.0/24 -j DROP）

现在在nginx日志里发现这个IP段又改为使用代理访问，日志的 $http_x_forwarded_for 字段显示了已经DROP的这个IP段

请教，如何用iptables屏蔽这种通过代理访问的源地址

[rex1901]

squid的acl可以指定header：
acl deny_ip req_header X-Forwarded-For 123\.123\.123\..*
http_access deny deny_ip

[v1p]

@rex1901 nginx也可以，但还是用iptables效率高啊

[jasontse]

@v1p
应用层协议处理不适合交给 iptables

[v1p]

@jasontse 我是想知道iptables如何能够屏蔽这种代理访问

[lsylsy2]

@v1p 没办法，因为TCP/IP层看不到$http_x_forwarded_for

[goter]

iptables -A FORWARD -m string --string "mp3" -s ! 192.168.1.0/24 -j DROP lz可以试试 看看速度怎么样 会不会有误判