Newsgroup: it.comp.sicurezza.varie
Titolo: Impostazione Firewall per P2P

Salve č la prima volta che posto in questo news, vorrei impostare il mio
firewall per negare l'utilizzo di programmi P2P tra i piů conosciuti.
Premetto che ho un firewall di tipo watchguard Firebox II e riesco a
configurarlo !!!
adesso il problema č come fare a bloccare questi servizi.
Ho trovato questo estratto di configurazione relativo ad un router ma non so
se funziona qualche consiglio??
Ovviamente mi imposto un servizio di policy con le porte TCP e UDP e poi
nego l'ingresso a tutti gli indirizzi sulle blocked site con tutto il range!
Grazie
Gianluca Pizzi
....
!access-list inside deny tcp any any eq 7372
!access-list inside deny udp any any eq 5190
!
! eDonkey
access-list inside deny tcp any any range 4661 4662
access-list inside deny udp any any eq 4665
!
! IMesh
access-list inside deny ip any 216.35.208.0 255.255.255.0
!
! Kazaa
access-list inside deny ip any 213.248.112.0 255.255.255.0
access-list inside deny tcp any any eq 1214
!
! Audiogalaxy
access-list inside deny ip any 64.245.58.0 255.255.255.0
!
! Gnutella
!access-list inside deny tcp any any range 6346 6347
!access-list inside deny udp any any range 6346 6347
access-list inside deny tcp any any range 6346 6349
access-list inside deny udp any any range 6346 6347
!
! WinMX
access-list inside deny ip any 209.61.186.0 255.255.255.0
access-list inside deny ip any 64.49.201.0 255.255.255.0
access-list inside deny tcp any any eq 6699
access-list inside deny udp any any eq 6257
!
! Napigator
access-list inside deny ip any 209.25.178.0 255.255.255.0
!
! Morpheus
access-list inside deny ip any 206.142.53.0 255.255.255.0

 nego l'ingresso a tutti gli indirizzi sulle blocked site con tutto il range!
Sono modalita' di filtraggio quasi inutili con i moderni software p2p.
Fabio

 ha scritto nel messaggio
news:MPG.1978df7f8...@powernews.libero.it...


 dovrei implementare secondo te un proxy server dove filtro tutti?
Si, puoi mettere uno squid (ad esempio) sulla cobalt per http e ftp. Farai 
NAT solo per la cobalt bloccando poi il forward sul firewall per tutti gli
altri host, per ogni porta e per ogni destinazione. L'ideale sarebbe usare
altri proxy applicativi anche per smtp, pop3 e imap, se sono esterni alla 
tua rete, ma puoi anche pensare di farli uscire con nat su 110/tcp, 143/tcp 
e 25/tcp vincolando il traffico solo ai server del tuo provider. Per il dns 
puoi usarne uno interno e abilitare solo lui in uscita.
Il consiglio che ti ha dato mayhem su .cisco e' sacrosanto ma, purtroppo,
non risolve la questione dei p2p come kazaa 2.x.
Nella conf di squid o del firewall sara' opportuno mettere un filtro sugli
ip dei gateway pubblici di httptunnel. Per i p2p non dovrai configurare
niente di particolari, perche' il filtraggio e' implicito nel fatto che 
attraverso un proxy http non passano i protocolli di file sharing attuali.
Questo funzionera' finche' non uscira' un nuovo p2p che potra' passare
attraverso i proxy http o ftp.
Fabio

 attraverso i proxy http o ftp.
stavo pensando che una caratteristica comune a tutti i p2p sono le code
degli utenti in attesa di scaricare una canzone e la difficolta' di alcuni
p2p nei resume.
per far passare la voglia basterebbe quindi far cadere periodicamente la
connessione costringendo l'utente a rifare la trafila di riconnettersi e
riaccodarsi.
l'ideale sarebbe droppare in modo selettivo con una white list di host
approvati e applicare la procedura solo a chi supera un certo traffico in
un certo arco di tempo. al momento mi vengono in mente problemi solo in
upload/download verso/da ftp non in lista senza resume o con tetto massimo
di utenti molto basso.
quanto puo' essere sensato questo sistema (accoppiato ad uno squid
volendo)?
-- 
a torino siamo piu' fighi: i nostri cantieri sono eventi culturali, mica
dei semplici buchi polverosi da cui esce un rumore assordante!
http://www.comune.torino.it/cantieri/manuale/index.htm

 E 'a murì Puccia (storia d'amore e di recchia)

 
Imparare a quotare sarebbe utile.
Ciaotutti,
* -- che nei suoi giorni no per un top-posting plonka a vista