通過string匹配域名來過濾，範例如下：

iptables -I OUTPUT -p tcp -m string --string "qq.com" --algo bm -j DROP
iptables -I OUTPUT -p udp -m string --string "qq.com" --algo kmp -j DROP

這樣就無法訪問與QQ相關的業務了，但是代理好像還是可以

系統要求：

1：核心在2.6.18以上

2：iptables在1.3.5以上

3：核心中包含字串匹配模組。在.config檔案中應有

CONFIG_NETFILTER_XT_MATCH_STRING=m

man手冊

iptables -m string -help

string

         This  modules  matches  a  given string by using somepattern matching strategy. It requires a linux kernel >= 2.6.14.

        --algo  bm|kmp

              Select the pattern matching strategy. (bm = Boyer-Moore, kmp = Knuth-Pratt-Morris)

      設定字元匹配的查詢演算法，一般預設使用bm演算法效果就可以了，另外還可以設定kmp演算法，那是一種更復雜的演算法，詳細內容可自行參見高等數學裡的資料。（bm = Boyer-Moore, kmp = Knuth-Pratt-Morris）
 

        --from offset

              Set the offset from which it starts looking for any matching. If not passed, default is 0.

        --to offset

              Set the offset to which it starts looking for any matching. If not passed, default  is  the

              packet size.

        --string pattern

              Matches the given pattern.  --hex-string pattern Matches the given pattern in hex notation.
 

              定義字串內容，可以是URL裡任意字元，如果是需要block下載某些型別的檔案或請求，這個有很大的發揮空間，可自由想象喔。

常見的應用程式和有用的示例規則

1：防止入侵的方法

iptables -I INPUT 1 -p tcp --dport 80 -m string --string "cmd.exe" --algo bm -j DROP

iptables -I INPUT -j DROP -p tcp -s 0.0.0.0/0 -m string --algo kmp --string "cmd.exe"

2：保護DDOS服務

iptables -I INPUT 1 -p tcp --dport 80 -m string --string "domain.com" --algo kmp -j DROP

3：防止電子郵件欺騙

iptables -I INPUT -p tcp --dport 25 -m string --string "Subject" --algo bm -j DROP

做個最優規則

iptables -I INPUT -p tcp --dport 25 -m string --string "Subject"  --algo bm --to 15000 -j DROP