Newsgroup: it.comp.os.linux.sys
Titolo: Filtrare Skype con Squid

Qualcuno sa come filtrare il traffico Skype con squid ?
In alcuni post del 2004 ho trovato Whiplash che consigliava questo: 
http://l7-filter.sourceforge.net/
 per filtrare Skype ma io stavo 
cercando qualcosa da usare con squid (che non e' il default GW della rete).
In realta' mi piacerebbe prima raccogliere qualche statistica per capire 
quanto "impatta" sulla rete pero' credo che trovata un acl valida il 
resto sia tutto in discesa no ?!
Tnk's
Rizio

 cercando qualcosa da usare con squid (che non e' il default GW della rete).
Ma sul default gateway c'e' un firewall che impedisce l'uscita a tutti
coloro che NON passano da squid?
Se non c'e', e' inutile.
E in ogni caso, non ci sono possibilita' di filtrare a quel livello con
squid.
Serve un filtro a layer7, come quello consigliato da whip.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 squid.
Come dicevo la mia curiosita' e' principalmente quella di capire quanta 
banda usa. Per bloccarlo con squid ho trovato questo:
http://www.squid-cache.org/mail-archive/squid-users/200408/0257.html
pero' ammetto che non essendo il mio obbiettivo primario non ho ancora 
provato.
Qualcuno ne sa di piu' ?

 
http://www.squid-cache.org/mail-archive/squid-users/200408/0257.html
Si fidano del blocco dei server di autenticazione, che a me sembrano
ben di piu' di quelli e possono cambiare in ogni momento.
L'unico modo per non pensarci piu' e' un filtro layer7 che riconosca
il tipo di comunicazione di skype ovunque sia diretta.


 cercando qualcosa da usare con squid (che non e' il default GW della rete).
Quel metodo (l7) puo' essere utilizzato lo stesso anche se tutti i 
client devono necessariamente uscire via squid: basta usarlo sulla
macchina che esegue squid o sul firewall da cui esce squid. Non le
ho mai usate ma, da quel che si legge, sembra che con le regole l7 
predefinite si blocchino solo le chiamate.
Si possono utilizzare anche strumenti che facciano passare solo il
traffico SSL/TLS sulla 443/tcp _e_ che non si lascino ingannare da
quei primi pacchetti scambiati durante l'autenticazione (che paion
SSL, ma...). Li devi mettere lungo il percorso dal proxy al mondo,
in modo da impedire che il client possa autenticarsi. Questo e' un
presidio piu' generico: ferma altre cose anomale che si potrebebro
fare passare sulla 443/tcp. Sono aggeggi un po' costosetti, ma con
un po' di lavoro si riesce a fare la stessa cosa anche utilizzando
snort-inline.
Altri modi:
- usa un autenticatore non supportato dai client skype (es: ntlm);
- skype usa CONNECT senza fornire lo user-agent; metti una acl che
  impedisca l'accesso ai client con questo comportamento.
Roba che si bypassa abbastanza facilmente, ma e' gia' qualcosa. 
Fabio

 Qualcuno sa come filtrare il traffico Skype con squid ?
Sulla macchina su cui gira Squid potrebbe convenirti filtrare via iptables
definendo uno specifico gestore in python, l'ho letto tra i proceedings
della Black Hat di quest'anno (o dello scorso, bho).
Cmq potresti seguire l'approccio inverso, fai passare tutto il traffico che
si categorizza bene e quello che non si categorizza bene (quindi P2P e VOIP)
lo inquadri in una classe contingentata.
-- 
Per rispondermi, togli il nome del poeta

 lo inquadri in una classe contingentata.
L'idea non e' male !!! Davvero ! In effetti proprio per il fatto che mi 
interessa prima capire quanto effettivamente mi "occupa" potrei 
verificare con iptables anche la quantita' di dati che attraversano 
quella determinata regola senza bloccarla (per ora)..... hummm... grazie 
mille dell'hint !!!
Ora devo solo mettere giu' una regola decente per non avere dei "falsi" :)
Rizio