Newsgroup: it.comp.os.linux.sys
Titolo: *S*bloccare Skype

Orbene, ho trovato molto su come bloccare skype, ma non come 
_sbloccarlo_ in maniera intelligente (non pretendo furba ;) ).
Partendo dal presupposto che ho:
* iptables -P FORWARD DROP
Mi riesce difficile trovare una regola 'decente' che apra le sole porte 
necessarie all'utilizzo di skype dalla LAN, senza aprire l'impossibile.
Non mi va di fare (quello che sembrerebbe la cosa più semplice):
* iptables -A FORWARD -p tcp --sport 1024:65534 --dport 1024:65534 \
            -j ACCEPT
* iptables -A FORWARD -p udp --sport 1024:65534 --dport 1024:65534 \
            -j ACCEPT
perchè così facendo aprirei l'iradiddio al P2P etc....
SUGGERIMENTI ?
-- 
Diesis

 SUGGERIMENTI ?
Usa l'extension IPP2P (o, in alternativa, quella l7) di iptables/netfilter.

 Diesis

 Usa l'extension IPP2P (o, in alternativa, quella l7) di iptables/netfilter.
Dimenticavo, uso Debian Sarge, e sembra che questi moduli non siano 
presenti. Mi fa brutto compilarmeli o patchare iptables, visto che la 
macchina è un FW....
Ci sarà un modo per standardizzare il comportamento di questo 'mostro' 
di skype... il fatto è che apre connessioni a casaccio, con porte a 
casaccio....
-- 
Diesis

 
http://www.skype.com/intl/it/help/guides/firewall.html
Secondo loro dovrei aprire il mondo per sbloccarlo ....
Porta 80, 443 tutte le unprivileged ports.... che ce lo metto a fare il 
fw, allora ?
-- 
Diesis

 casaccio....
Come ultima risorsa skype utilizza la 80 e bypassa anche in buona parte
i proxy, quindi lascia solo quello.
Angelo

 casaccio....
Non usare Skype è un'opzione valida?
Software closed, protocollo closed.
Sai cosa viaggia esattamente, in quei pacchetti?
Io no, e trovo che lasciare usare skype in una lan sia un potenziale
enorme buco di sicurezza.
Ecco uno studio molto interesante sull'aggeggio misterioso:
http://www.secdev.org/conf/skype_BHEU06.pdf

 Diesis

 Non usare Skype è un'opzione valida?
Alternative open source?


ekiga?

 _sbloccarlo_ in maniera intelligente (non pretendo furba ;) ).
http://www.secdev.org/conf/skype_BHEU06.pdf
-- 
Per rispondermi, togli il nome del poeta

 Come ultima risorsa skype utilizza la 80
Non posso... devo consentire l'http solo attraverso proxy ...
-- 
Diesis

 enorme buco di sicurezza.
I totally agree, but the customer.....
-- 
Diesis

 ekiga?
Qualsiasi client SIP a me andrebbe bene, SIP è chiaro come protocollo.
Purtroppo Skype è il più diffuso, il più conosciuto, quindi gli utonzi 
che 'comandano' scelgono quello....
-- 
Diesis

 no no, aspetta.. io apro solo la 443, e basta.
Forse questo è un compromesso accettabile.... magari metto un logging 
dei SYN/ACK per tenere sotto controllo l'eventuale navigazione https 
extra-proxy...
-- 
Diesis

 
http://www.secdev.org/conf/skype_BHEU06.pdf
Interessante, lo passerò agli utonzi-comandanti più volenterosi.
Avevo letto una cosa simile, ma questo mi piace di più :D
-- 
Diesis

 che 'comandano' scelgono quello....
Io uso kphone e mi trovo benissimo. Con lui puoi assegnare un range di 
porte da usare (anche una sola) e la configurazione del firewall a 
questo punto diventa banale.
Se proprio vuoi usare skype puoi cercare di installare il modulo 
voip_conntrack (o qualcosa del genere) io ci ho provato ma mi inchiodava 
la macchina, quindi ho optato per kphone e la vita mi si è semplificata 
come d'incanto...
Ciao,
Astemio lupin

 SUGGERIMENTI ?
IMHO, il suggerimento di whipz è molto utile se lo scopo è di limitare
il traffico o se devi cambiarne la priorità, ma se devi permetterne il
passaggio a fronte di un -P FORWARD DROP penso che l7 & soci non siano
una via percorribile.
Puoi farli uscire tramite proxy http, in ogni caso.
Fabio