Newsgroup: it.comp.reti.locali
Titolo: Messenger è inarrestabile?

Come si fa a bloccare questo mostro?
Da un firewall 3com ho bloccato tutte le porte salvo 80, 443, 25 e 110 che
sono indispensabili per l'utilizzo di posta elettronica, internet e home
banking.
Nel filtro URL ho anche bloccato tutti i siti che contengono la parola
"messenger" visto che alcuni di questi *pare* servano per l'autenticazione,
ma niente... funziona ancora.
A quanto pare per lavorare gli bastano le porte standard per l'accesso a
internet.
Come fanno nelle grosse reti a impedire l'utilizzo di questo software
utilizzando solo un firewall centralizzato e senza andare a intervenire
sulle singole stazioni?
Grazie, ciao.
RAY

 sulle singole stazioni?
In genere con firewall layer7.
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Server, Security

 In genere con firewall layer7.
Chiedo scusa ma non sono molto ferrato sull'argomento, che mi permette di 
fare un firewall layer 7?
Ho visto che si tratta di macchine piuttosto costose per un ufficio di 5 
terminali... Penserai che con poche stazioni potrei semplicemente agire a 
mano sui terminali interessati, è vero ma preferivo automatizzare la cosa.
Davvero non si può riuscire con tutti i vari filtri presenti a bordo di un 
firewall 3com economico?
Grazie, ciao
RAY 

 firewall 3com economico?
Se si tratta di filtri statici (es. porte on/off eccetera) direi 
proprio di no.


 di no.
Porte on/off e anche filtri url, le solite funzioni dei router-firewall di 
fascia bassa.
Ma visto che siamo in argomento, vorrei vederci chiaro: capisco che un layer 
7 analizza l'instradamento di un'applicazione, ma se io sapessi esattamente 
che voglio bloccare *quella*, non posso analizzarla in altro modo e poi 
impostare delle regole fisse? Mica cambierà tattica ad ogni accesso, no?
Se per esempio scopro che va a cercarsi alcuni indirizzi ip per 
l'autenticazione e connessione non posso provare a renderli inaccessibili 
anche da un firewall semplice? In fondo credo che messenger per quanto 
intelligente avrà bisogno di qualche server che posso bannare in qualche 
modo...
Grazie, ciao
RAY 

 ha scritto nel messaggionews:mn.bad47d7a1...@sasdelli.it...


 impostare delle regole fisse? Mica cambierà tattica ad ogni accesso, no?
Le "regole fisse" dipendono dal tipo di applicazione: occorre quindi 
*prima* verificare di che applicazione si tratta e *dopo* intervenire 
dinamicamente per bloccare solo quella, e questo e' un compito da 
firewall layer-7.


 internet.
lavora sulla porta 80...
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
(Vendo giacca Spidi Road Egle 
Come nuova, 150eur)
L'indirizzo em@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 inclusa.
Ciao Luca,
ho dato un occhiata al firewall che citi, ma da dove si capisce che
lavora a L7? e più in generale nelle descrizioni dei firewall da dove
si capisce a che livello è in grado di lavorare se non è direttamente
specificato?


 lavora a L7? e più in generale nelle descrizioni dei firewall da dove
Nella home page, paragrafo QoS. Comunque il package usa il li 
opensource.


 ha scritto nel messaggio 
news:1193136045....@i38g2000prf.googlegroups.com...
Sono d'accordo con te: sparare con un cannone ad un canarino funziona
sicuramente, ma non è sempre la scelta ottimale!
Se devi bloccare solo il messenger sembra che le porte utilizzate
siano le seguenti (dico sembra perchè non ho verficato di persona
l'informazione):
1863 TCP (base per lo scambio di messaggi)
Da 6891 a 6900 TCP (scambio file)
6901 TCP (per la voce)
6901 UDP (per la voce)
12352 UDP
14300 TCP
7790 UDP
Con queste dovresti bloccare messenger.
-----------------------------------------------------
Come dicevo, sono già tutte chiuse tranne la 80, 443, 25 e 110 che sono 
indispensabili per navigazione e mail.
Come dice Mirko Borsari, Messenger riesce a fare tutto sulla porta 80, 
altrimenti non si spiega come possa funzionare ancora....
Ciao
RAY 

 sapere.
Il fatto è che ho già installato questo 3com tra la rete ed il modem-router 
di BT Albacom, stravolgendo tutti gli ip della rete che sono fissi, compresi 
quelli delle stampanti di rete; la cosa ha richiesto un pò di tempo e non 
vorrei smantellare tutto, capisco che magari pretendo l'impossibile ma 
vorrei provarci ancora con il 3com, non credevo fosse una cosa tanto 
complessa.
Non so se può servirmi la funzione SPI, dal manuale cito testualmente: 
"Stateful Packet Inspection (SPI) inspects, and if required blocks packets 
at the application layer. SPI also maintains TCP and UDP session 
information, including timeouts and the number of active sessions, and 
provides the ability to detect and prevent certain types of network attacks 
such as DoS attacks.
Nella videata sotto la voce SPI posso scegliere di bloccare queste voci: 
packet fragmentation, tcp connection, udp session, ftp service, 
H323.service, tftp service.
Poi c'è il mac filter, che potrei attivare ma senza indicare in lista dei pc 
autorizzati ad accedere dall'esterno, non so se però questo trucco influisca 
su messenger, e soprattutto spero non impedisca l'arrivo della posta in 
ingresso.
Per il resto non ho altre idee...
Grazie, ciao
RAY

ma niente... funziona ancora.
Hai controllato magari su quali IP si collega, cosi' blocchi
l'instradamento verso i server?

 La soluzione non è comunque definitiva come l'L7 che propone Luca,
A quanto mi risulta, e' possibile identificare il traffico MSN 
Messenger, cosi' come di altre applicazioni, su qualsiasi porta e 
applicare regole di conseguenza.



Ciao
Ho fatto due prove con netstat
per iniziare il programma cerca di fare una risoluzione dns ai
seguenti nomi:
gateway.messenger.hotmail.com
login.live.com
gateway.messenger.com
messenger.hotmail.com
webmessenger.msn.com
direi che se metti una regola che blocca tutto quello che contiene la
frase messenger poi ti basta bloccare 
login.live.com
come ip per l'autenticazione a me ha usato 64.4.21.61 e 207.46.96.153
facendo un whois si trova che:
64.4.0.0 to 64.4.63.255 sono di proprietà microsoft
207.46.0.0 to 207.46.255.255 sono di proprietà di hotmail
bloccando questi range dovrebbe essere ok
a casa più tardi provo con un firewall a vedere se le regole
funzionano.
Ciao

 ha scritto nel messaggio 
news:1193155538.9...@y27g2000pre.googlegroups.com...
Ciao
Ho fatto due prove con netstat
per iniziare il programma cerca di fare una risoluzione dns ai
seguenti nomi:
gateway.messenger.hotmail.com
login.live.com
gateway.messenger.com
messenger.hotmail.com
webmessenger.msn.com
direi che se metti una regola che blocca tutto quello che contiene la
frase messenger poi ti basta bloccare 
login.live.com
come ip per l'autenticazione a me ha usato 64.4.21.61 e 207.46.96.153
facendo un whois si trova che:
64.4.0.0 to 64.4.63.255 sono di proprietà microsoft
207.46.0.0 to 207.46.255.255 sono di proprietà di hotmail
bloccando questi range dovrebbe essere ok
a casa più tardi provo con un firewall a vedere se le regole
funzionano.
------------------------------------------------
Ciao Omero, grande!
Eheh... se ti racconto perchè non l'ho potuto ancora fare presso il cliente 
vi mettete tutti a ridere...
La situazione è un pò delicata, la persona che "approfitta" un pò troppo 
della connessione a internet è in una posizione intoccabile, per cui su 
disposizione dei titolari, dovrei riuscire a bloccare certi programmi senza 
toccare il suo terminale, e fino ad ora durante i miei interventi questa 
persona era sempre presente, per cui non ho potuto fare test specifici sulla 
sua macchina.
Tuttavia i titolari mi informano sugli sviluppi e mi hanno confermato che 
ancora la vedono utilizzare messenger a tutto spiano...
Quando ci riusciremo ci si augura che non abbia la faccia tosta di chiedere 
perchè non funziona più, o qualora lo facesse diremo che per motivi di 
sicurezza il nuovo firewall blocca un pò tutto e la cosa non si può evitare 
(in realtà fino ad ora sembrerebbe il contrario)....
ihihih... che ridere...  :-))
Stavo proprio per attivare un messenger su un mio pc e provarlo da me, per 
ora ho provato il netstat sul mio pc dove c'è solo skype, ho visto che 
mostra un paio di ip remoti, ma con quale funzione del firewall potrei 
bloccarli?
Il filtro url non credo accetti altro apparte veri e propri nomi di dominio. 
E soprattutto il filtro url blocca solo quando richiedi un sito digitandolo 
nel browser oppure anche se le applicazioni tentano un accesso per altre 
vie?
Lo chiedo perchè avevo già filtrato la parola messenger, mancherebbe l'altro 
dominio che mi hai segnalato, speriamo che basti indicarlo lì.
Per il resto ho paura che sul quel 3com a parte il blocco delle porte, le 
altre funzioni servano per impostare le eccezioni da sbloccare, a meno che 
nella sezione client IP filters non si possa impostare un filtro su un ip 
che invece di appartenere ad una macchina locale sia quello del server 
remoto da bloccare, ma non so se funzionerà...
Grazie, ciao
RAY

 vorrei smantellare tutto, capisco che magari pretendo l'impossibile ma 
bhe cambiare firewall non vuol dire smantellare tutto, significa
cambiare firewall. La rete nemmeno se ne accorge.
Per il resto non conosco il tuo firewall e non saprei darti un
consiglio preciso su come risolvere. Se ha un CF per categorie blocchi
le chat e dovresti essere a posto... ma non so se ce l'ha!


 ha scritto nel messaggionews:1193155538.9...@y27g2000pre.googlegroups.com...

il filtro url lavora a livello di risoluzione dns quindi deovrebbe
funzionare anche solo specificando una parala ti basta aggiungere le
altre.
le regole da fare e posizionare in alto nella catena di out dovrebbe
essere del tipo "any ip any port to 64.4.0.0-64.4.63.255 any port
drop" e allo stesso modo per l'altro range.
Appena posso provo a fare le due regole nel mio firewall il problema è
che mi sono procurato il live ma non ho un account, le prove le ho
fatte lanciando autenticazioni a caso.
Ciao

 sapere.
ho appena provato... abilitando il blocco di msn, non c'è
assolutamente modo di entrare. Oltretutto nel log vedo anche con che
login si cerca di connettersi.


 ma utilizzabile solo per temi inerenti il NG corrente.
Be con un Fortinet è facile ma per 5 pc è un po sprecato (bella
macchina) da me tiene su credo 750 pc un fortigate 100
Ciao

 ha scritto nel messaggionews:1193155538.9...@y27g2000pre.googlegroups.com...

Ciao spero che non arrivi doppia
il filtro url lavoro a livello di risoluzione dns quindi dovrebbe
funzionare aggiungendo le altre parole che mancano (puoi fare delle
prove con dei siti conosciuti).
Per fare le regole nel firewall aggiungi in alto nella catena delle
regole una regola tipo questa " any ip any port to
64.4.0.0-64.4.63.255 ip any port drop" e allo stesso modo per l'altro
range.
Appena posso per curiosità ci provo anche io.
Ciao

range.
Eh sě ma in quale sezione impostare queste regole? Il pannello del 3com č 
molto "user-friendly" ma non sembra accettare regole complesse, ha delle 
caselle predefinite per tutto, nella sezione client ip filter puoi 
specificare gli ip dei pc interni e le porte TCP o UDP da chiudere per 
quelli, niente altro, poi c'č l'url filter di cui abbiamo parlato, ma blocca 
solo del testo vero e proprio, non permette di bloccare degli ip a quanto 
pare.
Poi ci sono le sezioni special applications, virtual servers, ecc. ma 
sembrano servire tutte a *liberare* delle porte per le applicazioni 
desiderate, e non chiuderle.
L'unico dubbio me lo riservo su quello "stateful packet inspection" di cui 
parlavo in un precedente post, che permette di bloccare alcune categorie di 
servizi, no l'ho ancora provato ma temo che la mia ultima speranza sia lě.
Ciao
RAY 

 servizi, no l'ho ancora provato ma temo che la mia ultima speranza sia lì.
La SPI lascia passare solo i pacchetti "attesi" dal sistema; qui trovi 
un'animazione flash che spiega abbastanza bene la 
cosa:
http://www.alogica.it/IDRCI/spffunc.html


 RAY
Scusa ma mi sa che a livello firewall e proprio "user-friendly".
Quando avevo dato un occhiata al manuale ho visto che supporta anche
le vpn come end point mi è sembrato abbastanza performante ma a
livello di regole firewall pro è proprio a 0.
Spero che funzioni il discorso del url filter.
Ma come hai fatto a creare le altre regole hai usato il client ip
filters? non vedendolo dal vivo è un po difficile
prova a inserire come words nell'url filter "64.4.0." e "207.46." e
speriamo!!
Ciao

 - Mostra testo tra virgolette -
scusa "64.4."
Ciao

Risposte alle persone sbagliate, quoting barbaro, mamma mia quant'e'
complicato seguire questo thread....

 ha scritto nel messaggionews:1193136045....@i38g2000prf.googlegroups.com...


Ciao
Sì ho usato proprio il client ip filter: ti chiede prima di tutto gli ip dei 
pc client per cui vale la regola, e poi propone una serie di applicazioni 
scegliendo le quali chiude già le relative porte (a dire il vero create 
molto approssimativamente, ad esempio per messenger propone solo una porta 
da chiudere quando invece abbiamo visto quanto sia più complessa la cosa).
Oltre alle regole "già cotte" più sotto ci sono gli spazi per inserire 
manualmente le porte singolarmente o a intervalli, io ho creato degli 
intervalli lasciando libere solo le 4 porte indispensabili.
Proverò come suggerisci ad usare l'url filter per metterci gli ip da 
filtrare, anche se nel manuale cita solo esempi con delle parole, non si sa 
mai...
Come ultima risorsa, ho riesumato un vecchio Zyxel Zywall 10, non so ancora 
se funzioni, nel caso monto questo e vedo se mi fornisce più elasticità 
nella creazione delle regole, probabilmente sarebbe più adatto.
Ciao e grazie ancora.
RAY 

 prova a inserire come words nell'url filter "64.4" e "207.46."...
Nel frattempo continuano le prove nel mio ufficio... la cosa è grottesca: 
quì ho grosse difficoltà a connettermi con messenger, anche se ho messo il 
pc in DMZ sul firewall!
Sembra uno scherzo, dove non lo vogliono funziona anche se si chiudono tutte 
le porte, e qui che potrebbe anche servirmi non c'è verso di farlo 
partire... mah...
Avevo già provato anche tempo fa su un altro pc del mio ufficio, faceva 
uguale, a volte si connette e resta connesso, ma raramente, se ti 
disconnetti e riprovi poco dopo puoi anche fare decine di tentativi a vuoto, 
dice sempre "non è al momento possibile effettuare la registrazione a 
windows live messenger a causa di un problema con la connessione internet. 
riprova in seguito".
Ma io non ho toccato nulla nè su pc nè sul router.
Ti volevo anche segnalare che il netstat -anob quando messenger è connesso 
mostra anche a me l'ip della famiglia 207.46 ma niente altro a parte i 
soliti ip locali, quindi non mi appare il 64.4. Può significare che gli 
basta la rete hotmail senza appoggiarsi a quella Microsoft?
E' solo una banale curiosità, se trovo il modo li filtro comunque tutti e 
due.
Ciao
RAY 

 macchina) da me tiene su credo 750 pc un fortigate 100
cerca di quotare meglio la prossima volta...
comunque un 50B come prezzo è paragonabile ai vari zywall5UTM.
Non la vedo una spesa impossibile.
Un FG100 per 750PC? spero ci siano poche regole impostate... :-)
-- 
MirkoB.   
ne...@bsi-net.it


 ha scritto nel messaggionews:1193216669.5...@v23g2000prn.googlegroups.com...

A me è comparso il 64.4. quando ho bloccato il 207.46.
Sta diventando una sfida interessante questo thread.
Ciao

banking.
Se hai voglia prova con Agnitum Outpost Firewall e lo blocchi di
sicuro, ma teoricamente dovresti averlo su tutti i PC.
Anche se ho cmq visto che mettendolo solo su un PC che faceva da
Server attaccato ad Internet su una scheda di rete, e un'altra scheda
di rete diretta ad uno switch da 16porte, riusciva chiaramente a farmi
visualizzare che le macchine 192.168.150.23 e/o 192.168.150.31
cercavano di collegarsi a 
www.google.it
E ricordo che se facevo Block Once impedivo al .23 e/o al .31 di
utilizzare Google, poi ovviamente dovevo solo metterlo in modalita
Block Once perenne e creare delle regole per ogni PC collegato, in
effetti abbastanza scomodo.
Ma penso si viola la licenza in questo modo.
Perche' per una rete di PC esiste Agnitum Outpost Network Security che
costa molto di piu', ma sicuramente e' piu' adatto e offre maggiore
configurazione su una Rete.
Calcola che un Agnitum normale costa qualcosa come 79.95$ per 5 pc per
2 anni.... l'altro sono diverse centinaia di $.

Sta diventando una sfida interessante questo thread.
Ultimi sviluppi sulla nostra "sfida":
ho inserito nel filtro url sia i due indirizzi di cui sopra, sia il sito 
live.com
, ma ancora funziona quasi tutto, infatti l'unica novità è che in 
messenger non appaiono più i pulsanti sulla sinistra, quelli che consentono 
la ricerca di altri contatti e servizi vari, ma probabilmente l'utilizzo è 
ancora possibile.
Anzi ho scoperto una cosa agghiacciante sul firewall 3com: se apro messenger 
e clicco per leggere la posta sul sito, mi apre una pagina web che nel 
percorso contiene "
live.com
", visto che l'ho filtrato mi chiedo: come mai 
funziona? Posso anche navigare dentro quella pagina spostandomi nelle 
cartelle di posta inviata, servizi vari, ecc., tutte pagine che contengono 
"
live.com
".
Se invece vado nella barra dell'indirizzo, seleziono e faccio invio senza 
cambiare nulla, il firewall si accorge improvvisamente che sto chiedendo di 
visualizzare una pagina filtrata e allora la blocca...
Quindi in pratica se la digiti a mano nel browser la intercetta, se invece 
ci arrivi da un'altra parte te la apre tranquillamente, sarei curioso di 
provare se basta inserire le pagine nei preferiti per farle funzionare, 
spero di no.... comunque penoso...
L'ultima scappatoia è rimasto il router albacom che però non posso 
programmare (non rilasciano la password e non si trova nessuno in rete che 
ne abbia una valida) per cui devo scrivere una mail a loro per richiedere di 
chiudere porte e indirizzi ip, sperando che abbiano un pò di campo libero 
nella programmazione del loro router visto che il nostro 3com è impotente...
Ciao!
RAY