Freesco, NND, CDN, EOS

Witam

Potrzebuje sposobu na zablokowanie dzialania skype bez blokowania
portu 443 (Banki itp). Uzylem listy adresow z postu:
http://forum.freesco.pl/viewtopic.php?t ... ight=skype
ale nadal wynajduje jakies dziwne serwery i laczy sie z nimi po porcie 433.

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Generalnie rzecz biorąc skype nie zablokujesz. Może z użyciem markowania... ale ja się na tym nie znam.

_________________
Belfer.one.PL
Audio Cafe

Mysle ze w ten sposob jakos sobie poradze:
http://forum.freesco.pl/viewtopic.php?t=18156
ale licze tez na wersje lzejsza.

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Nie. Masz kiepski pomysł wynikający zapewne z niewiedzy o zasadach działania Skype.
Po pierwsze Skype wykorzysta każdy możliwy port, po drugie wykorzysta każdy możliwy adres, także np. adres innego użytkownika Skype, który będzie miał zastosowanie jako coś w rodzaju proxy.
Jedyny sensowny sposób zablokowania Skype to użycie markowania pakietów, zakładając, że da się to zrobić ze Skype podobnie jak z programami p2p. Jak mówiłem nie znam się, wiec może ktoś się inny wypowie.
Natomiast zastanawia mnie coś innego.
Twoje posty zahaczają wciąż o zabronienie czegoś użytkownikom. Zatem rozumiem, że masz zadanie administrować jakąś firmą, której szef chce, aby użytkownicy mogli bardzo niewiele - w tym odwiedzanie tylko niektórych i nielicznych stron. Zatem zamiast kombinować, czy nie lepiej zabronić instalowania na firmowych komputerach dodatkowego oprogramowania?

_________________
Belfer.one.PL
Audio Cafe

layer7 ma filtry skype i nawet coś tam wykrywa.

_________________
F33/F07,F11,F13,F17

niestety ludzie przynosza swoje komputery a takze jest cos takiego jak portable skype dzialajace z pendrive



napisalem taki oto kod i do pliku webaccept wrzucilem adresy bankow ktore dzialaja na 443 ale chyba cos pomieszalem regulki iptables
bo skype sie nie laczy (wszystkie porty oprocz tego zablokowane a 80 puszczony przez squid i tez dla skype zablokowany
jedyne otwarte porty to 21,80 i 443 skype tylko nimi moze probowac sie laczyc

a co do bronienia instalacji to jest wiele sposobow na obejscie tego
wiem z doswiadczenia, google pomaga ludziom

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Rób jak chcesz i jak chce twój szef, nie mój cyrk, nie moje małpy.
Jednak z zasady jest to dość głupie podejście. Marnuje się sporo czasu i energii na zabranianie, ograniczanie, uniemożliwianie, zamiast zająć się czymś produktywnym. Być może jest to inicjatywa szefa - wówczas to szef jest głupi. Być może to twoja chęć okazania władzy jako administratora, wówczas ...
Z doświadczenia wiem, a mam tych doświadczeń trochę, ze zawsze lepiej działa marchewka niż kij.
Znacznie lepiej doprowadzić do sytuacji, gdy pracownicy używający komputerów w firmie, mają świadomość, ze instalować skype nie wolno, bo jest to potencjalnie niebezpieczne dla danych. Użytkownicy zresztą powinni mieć określone ograniczenia na komputerach, które uniemożliwią instalację, a poza tym uniemożliwią też uruchamianie wybranych programów portable, da się to prosto zrobić (uniemożliwiając uruchamiania programów z pendrive). Bardzo prosto można uniemożliwić dostęp własnych prywatnych komputerów do sieci. Piszę o tych możliwościach dlatego, że ty właśnie wybrałeś najgłupsze z możliwych rozwiązań.

_________________
Belfer.one.PL
Audio Cafe

a jak ktoś postawi sobie tunel i wszystko uruchomi? skype google i inne pierdoły?

_________________

Albo jeszcze gorzej, ma zestaw darmowych MB i połączy się przez komórkę?

_________________
Belfer.one.PL
Audio Cafe

Mi tam ta blokada do niczego nie jest potrzebna. Pomysl szefa. Tak jak pisalem blokada instalacji jest ale jednak z pendrive-ow ludzie korzystaja.
Wiem ze to dziwne podejscie ale takie mam wytyczne do zrealizowania.
Nie moge zablokowac tez sieci dla innego sprzetu.
Glupio ale co zrobic.

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

może zaDROPować zakres portów oprócz niezbędnych do działania netu

_________________
Jeśli post okazał się pomocny kliknij Pomógł
GG: 9822296

Multimo 2Mb

Wszystkie niepotrzebne porty zDROPowalem
zostaly tylko 80(przekierowany na squid) i 443
ktory musze ograniczyc tylko do witryn bankow.

Czy dobrze napisalem te iptables tutaj?
Bo jednak nie dzialaja.
Najpierw musze dodac domeny na ALLOW a potem zablokowac calosc czy jak?

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Kiedyś się tym interesowałem. Przyblokowanie Skypa to nie jest prosta sprawa, gdyż korzysta m.in z portów 80 i 443. Podobno przepuszczenie obu tych portów przez Squida i odfiltrowanie połączeń z numerami IP zamiast nazw domen działa, ale nie sprawdzałem tego.

Nikomu też chyba nie udało się przyblokować Skypa przez markowanie pakietów. Protokół jest zamknięty i jak dotychczas nie udało się go nikomu złamać, w dodatku przypuszczam że jest regularnie zmieniany.

A propos Skype Portable i innych niechcianych rzeczy uruchamianych z pendriva: w windzie jest możliwość zablokowania uruchamiania programów z urządzeń przenośnych.

puscilem port 80 przez squid i to zablokowalo skype
ale port 443 musze zostawic dla bankow
puszczenie go przez squid odpada bo nie dzialaja banki
chyba ze potrzebuje jakos go skonfigurowac inaczej


tyle to wiem, probowalem kilka programow z level7 na czele
dodatkowo wystarczy aby raz sie skype podlaczyl a aktualizuje sobie liste adresow ip z ktorymi laczy sie na starcie, do listy blokowanych serwerow skype caly czas cos dodaje ale to walka z wiatrakami


tak to by bylo fajne ale domeny nie ma w firmie
a obskoczenie 100 kompow i laptopow to nie jest chwila pracy

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Zainstaluj najnowsze definicje protokołów layer7

iptables -I FORWARD -m layer7 --l7proto skypetoskype -j DROP
iptables -I FORWARD -m layer7 --l7proto skypeout -j DROP

U siebie wprawdzie nie robię DROP, wręcz przeciwnie - markuję pakiety i puszczam do kolejki o wyższym prio, aczkolwiek liczniki tych reguł ciągle się kręcą i to nieźle, więc chyba jednak coś ten filtr wyłapuje...

_________________
F33/F07,F11,F13,F17

owszem filtruje - ale szkoda ze nie to co trzeba

_________________
Pomógł? wypij jego zdrowie.
http://nnd-linux.pl/faq.php
http://wiki.nnd.freesco.pl/index.php/FAQ

Naprawde markowania nie potrzebuje ani blokowania przez layer7
po logach widze ze dla skype zostaly tylko porty 443
i ich skuteczne zablokowanie rozwiaze ten problem.

Poprostu podpowiedzcie jak ustawic te regulki na tym porcie.

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

Nie rozwiążesz. Skype potrafi korzystać też z udp.

_________________
Belfer.one.PL
Audio Cafe

UDP jest tez zablokowane.
Naprawdze zablokowane jest prawie wszysko.
Czy nie potraficie odpowiedziec prosto na zadane pytanie
a tylko narzekacie i kombinujecie.
Jak tak to poczekam na kogos kto moze mi pomoc.

_________________
Dom: Debian (1,6GHz, 2GB@256, 250GB)
[DHCP, Squid, Apache...]
Praca: NND (400Mhz, 512@300, 40GB)
[DHCP, Squid, dansguardian, niceshaper]

W czym problem? Zablokuj port 443 i już. Co to za filozofia, blokujesz to tak samo jak całą resztę, to chyba już wiesz jak.
A jeśli chcesz dopuścić ruch np. do jakiegoś banku to zrób to osobną regułką na koniec która otworzy port komputera z LAN do IP banku i zrób to dla INPUT i OUTPUT.

_________________
Belfer.one.PL
Audio Cafe