如何通过iptables在华硕RT-AX88U-4168路由器上以编程方式拦截网站？

看起来你已经摸到门道了，只是卡在iptables的webstr模块参数和规则生效的细节上，我来帮你梳理下可能的问题和解决办法：

1. 先搞清楚webstr模块的正确用法 #

你试了几个参数都没达到预期，最直接的方法是查看这个华硕定制模块的官方帮助，在路由器SSH终端里运行：

iptables -m webstr --help

这个命令会列出该模块支持的所有参数，比如到底是--url、--webstr还是其他命名方式——华硕的定制iptables模块参数有时候和标准版本不太一样，看帮助是最靠谱的。

2. 深挖现有生效规则的完整细节 #

你从web界面创建的规则能正常工作，那我们可以看看它的完整配置细节，运行下面的命令获取更全面的信息：

# 查看规则的流量统计和匹配条件
iptables -v -n -L FORWARD | grep HOST.com
# 查看带计数的原始规则配置
iptables-save -c | grep HOST.com

重点关注两个点：一是规则在FORWARD链中的位置，如果你的新规则用-A追加到链末尾，可能前面已经有允许所有流量的规则，导致拦截规则根本没机会被匹配；二是是否有隐藏的匹配条件，比如限定了80/443端口。

3. 调整规则的位置和匹配条件 #

如果现有生效规则是在链的前端，那你应该用-I（插入）而非-A（追加）来添加新规则，确保拦截规则优先被匹配：

# 插入到FORWARD链的最前面，优先执行
iptables -I FORWARD -p tcp -m webstr --url NEWHOST.com -j REJECT --reject-with tcp-reset

另外，多数网站同时支持HTTP（80端口）和HTTPS（443端口），你可能需要针对这两个端口分别添加规则：

# 拦截HTTP流量
iptables -I FORWARD -p tcp --dport 80 -m webstr --url NEWHOST.com -j REJECT --reject-with tcp-reset
# 拦截HTTPS流量（注意：HTTPS是加密传输，webstr模块可能无法解析URL，这时候需要其他方案）
iptables -I FORWARD -p tcp --dport 443 -m webstr --url NEWHOST.com -j REJECT --reject-with tcp-reset

4. 关于HTTPS拦截的特殊说明 #

HTTPS的URL是加密在TLS握手之后的，webstr模块大概率无法解析到真实的URL，这时候web界面的HTTPS拦截其实可能是通过DNS劫持实现的。如果是这样，你可以考虑用dnsmasq来拦截域名解析，效果更稳定，也适合定时任务：
在/jffs/configs/dnsmasq.conf.add文件中添加：

address=/NEWHOST.com/127.0.0.1

之后重启dnsmasq服务即可，这种方法对HTTP和HTTPS都有效。

5. 确保规则重启后不丢失 #

华硕路由器的iptables规则是临时的，重启后会自动清空。如果要做定时任务，你需要：

• 把添加/删除规则的脚本放到/jffs/scripts/目录下（需要先开启路由器的JFFS分区功能）
• 或者在定时任务中直接执行iptables命令，同时可以把常用规则保存到/jffs/configs/iptables-restore，然后在/jffs/scripts/firewall-start脚本中添加加载命令：iptables-restore < /jffs/configs/iptables-restore

备注：内容来源于stack exchange，提问作者JTB