MSN Proxy nao loga as mensagens [RESOLVIDO]

arc
(usa Slackware)

Enviado em 24/11/2009 - 22:26h

Amigo aqui uso proxy transparent + msn-proxy com estas regras funciona perfeitamente

LAN=192.168.0.0/24
INT=eth1
# Regras MSN-Proxy
iptables -t nat -A PREROUTING -i $INT -p tcp --dport 1863 -j REDIRECT --to-port 1863
iptables -t nat -A PREROUTING -p tcp --dport 1863 -s $LAN -j REDIRECT --to-port 1863
iptables -t nat -A PREROUTING -p tcp --dport 25000:30000 -s $LAN -j ACCEPT
iptables -A INPUT -p tcp --dport 25000:30000 -s $LAN -j ACCEPT
iptables -t nat -A PREROUTING -p tcp --dport 80 -m string --algo bm --string 'x-msn-messenger' -j DROP


Não sei como esta seu firewall mas tem quer liberar o input da porat 25000 até a 30000 para rede pois o msn-proxy tb usa essas portas

O lance de bloquear a string 'x-msn-messenger' é pq o msn tb pode conectar na porta 80. Talvez vc tenha que bloquear o messenger no squid, pois seu squid é autenticado e o Messenger não pode conectar atraves do proxy-squid(80/3128) e sim no msn-proxy(1863)

Ainda não usei msn-proxy com squid autenticado mas tenta mudar suas regras ai.

vaini
(usa Debian)

Enviado em 25/11/2009 - 09:45h

Galera, essa ta dificil...
arc, inclui suas regras no firewall, mas sem sucesso.

Vou postar meu firewall e squid.conf para ver se fica mais facil de vcs me ajudarem.
Talvez seja a ordem das regras ou acls.

##### /etc/init.d/firewall #####
#!/bin/sh

#Configuraco de Variaveis
IPT=/sbin/iptables
IF=eth0 #neste caso especifico estou usando apenas uma placa de rede
RD=eth0
LOG="iplog -i $IF -w -d -l /var/log/iplogs"
printf "."

echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#
if [ -e /proc/sys/net/ipv4/conf/all/rp_filter ]; then
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 > $f
done
fi
printf "."

#Ativando syn cookies proteco no kernel
if [ -e /proc/sys/net/ipv4/tcp_syncookies ]
then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi
printf "."

#Setando o kernel para dinamico IP masquerado
if [ -e /proc/sys/net/ipv4/ip_dynaddr ]
then
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
fi
printf "."

#Flushing all e criando chains.
$IPT -F
$IPT -X
$IPT -t nat -F
$IPT -t nat -X
printf "."

#Capturando o IP da internet
net=$1
net=`ifconfig $IF| grep inet| cut -f2 -d:| cut -f1 -d " "`
#int=$1
#int=`ifconfig $RD| grep inet| cut -f2 -d:| cut -f1 -d " "`
printf "."

#Setando por padrao o DROP.
$IPT -P OUTPUT ACCEPT
/sbin/modprobe iptable_nat

#Bloqueio/Liberação de MSN por IP
$IPT -A FORWARD -s 192.168.1.2 -p tcp --dport 1863 -j ACCEPT
$IPT -A FORWARD -s 192.168.1.2 -p tcp --dport 5190 -j ACCEPT

$IPT -A FORWARD -s 192.168.1.0/24 -p tcp --dport 1863 -j ACCEPT
$IPT -A FORWARD -s 192.168.1.0/24 -p tcp --dport 5190 -j ACCEPT

#Internet Sharing e Firewall - Iniciando
$IPT -t nat -A POSTROUTING -o $IF -j MASQUERADE
$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 --destination-port 80 -j DNAT --to-destination 192.168.1.3:3128
#$IPT -t nat -A PREROUTING -p tcp --dport -j REDIRECT --to-port 3128
#$IPT -t nat -A PREROUTING -p tcp -s 192.168.1.0/24 -d ! 200.201.174.207 --dport 80 -j DNAT --to-destination 192.168.1.3:3128 #Roteamento com conectividade social
$IPT -A FORWARD -i $IF -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -m limit --limit 60/minute --limit-burst 60
printf "."

#Criando Logs para a chain.
$IPT -N LDROP
$IPT -A INPUT -p tcp --dport 12345 -j LOG --log-prefix "BackOrifice"
$IPT -A LDROP -p tcp -j LOG --log-level 7 --log-prefix "DROP"
$IPT -A LDROP -p udp -j LOG --log-level 7 --log-prefix "DROP"
$IPT -A LDROP -p icmp -j LOG --log-level 7 --log-prefix "DROP"
$IPT -A LDROP -f -j LOG --log-level 7 --log-prefix "DROP"
$IPT -A LDROP -j DROP
$IPT -N LREJECT
$IPT -A LREJECT -p tcp -j LOG --log-level 7 --log-prefix "REJECT"
$IPT -A LREJECT -p udp -j LOG --log-level 7 --log-prefix "REJECT"
$IPT -A LREJECT -p icmp -j LOG --log-level 7 --log-prefix "REJECT"
$IPT -A LREJECT -f -j LOG --log-level 7 --log-prefix "REJECT"
$IPT -A LREJECT -j REJECT
$IPT -N LACCEPT
$IPT -A LACCEPT -p tcp -j LOG --log-level 7 --log-prefix "ACCEPT"
$IPT -A LACCEPT -p udp -j LOG --log-level 7 --log-prefix "ACCEPT"
$IPT -A LACCEPT -p icmp -j LOG --log-level 7 --log-prefix "ACCEPT"
$IPT -A LACCEPT -f -j LOG --log-level 7 --log-prefix "ACCEPT"
$IPT -A LACCEPT -j ACCEPT
$IPT -N TREJECT
$IPT -A TREJECT -p tcp -j REJECT --reject-with tcp-reset
$IPT -A TREJECT -p ! tcp -j REJECT --reject-with icmp-port-unreachable
$IPT -A TREJECT -j REJECT
$IPT -N LTREJECT
$IPT -A LTREJECT -p tcp -j REJECT --reject-with tcp-reset
$IPT -A LTREJECT -p ! tcp -j REJECT --reject-with icmp-port-unreachable
$IPT -A LTREJECT -p tcp -j LOG --log-level 7 --log-prefix "REJECT "
$IPT -A LTREJECT -p udp -j LOG --log-level 7 --log-prefix "REJECT "
$IPT -A LTREJECT -p icmp -j LOG --log-level 7 --log-prefix "REJECT "
$IPT -A LTREJECT -f -j LOG --log-level 7 --log-prefix "REJECT "
$IPT -A LTREJECT -p tcp -j REJECT --reject-with tcp-reset
$IPT -A LTREJECT -p ! tcp -j REJECT --reject-with icmp-port-unreachable
$IPT -A LTREJECT -j REJECT
printf "."

#Ativa o redirecionamento do MSN-Proxy
$IPT -t nat -I PREROUTING -i eth0 -p tcp --dport 1863 -j REDIRECT --to-port 1863
$IPT -A INPUT -p ALL -s 192.168.1.0/24 -i eth0 -j ACCEPT
printf "."

#Aceita trafego em lo (loopback) device
$IPT -I INPUT -i lo -j ACCEPT
$IPT -I OUTPUT -o lo -j ACCEPT
$IPT -I INPUT -i ! lo -s 127.0.0.0/255.0.0.0 -j DROP
printf "."

#Aceita conexoes por ack bit sets.
$IPT -A INPUT -p tcp ! --syn -i $IF -j ACCEPT
printf "."

#Bloqueio a IP Spoofing
$IPT -N syn-flood
printf "."

#Bloqueio a Ping
$IPT -A FORWARD -p icmp --icmp-type echo-request -j DROP
printf "."

#Bloqueio de Syn-flood via Limit
$IPT -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
printf "."

#Bloqueio Scanners Ocultos
$IPT -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
printf "."

#Anti-Spoofings
$IPT -A INPUT -j DROP -s 10.0.0.0/8 -i $IF
$IPT -A INPUT -j DROP -s 127.0.0.0/8 -i $IF
$IPT -A INPUT -j DROP -s 172.16.0.0/12 -i $IF
#$IPT -A INPUT -j DROP -s 192.168.1.0/16 -i $IF
printf "."

#Bloqueando Multicast
$IPT -A INPUT -s 224.0.0.0/8 -d 0/0 -j DROP
$IPT -A INPUT -s 0/0 -d 224.0.0.0/8 -j DROP
printf "."

#Bloqueando Conexao ao samba pela internet
$IPT -A INPUT -p tcp -s 192.168.1.0/24 --dport 139 -j ACCEPT
$IPT -A INPUT -p udp -s 192.168.1.0/24 --dport 139 -j ACCEPT
$IPT -A INPUT -p udp -s 192.168.1.0/24 --dport 138 -j ACCEPT
$IPT -A INPUT -p udp -s 192.168.1.0/24 --dport 137 -j ACCEPT
$IPT -A INPUT -p tcp -s 0/0 --dport 139 -j DROP
$IPT -A INPUT -p udp -s 0/0 --dport 139 -j DROP
$IPT -A INPUT -p udp -s 0/0 --dport 138 -j DROP
$IPT -A INPUT -p udp -s 0/0 --dport 137 -j DROP
$IPT -A OUTPUT -p tcp -s 192.168.1.0/24 --dport 139 -j ACCEPT
$IPT -A OUTPUT -p udp -s 192.168.1.0/24 --dport 139 -j ACCEPT
$IPT -A OUTPUT -p udp -s 192.168.1.0/24 --dport 138 -j ACCEPT
$IPT -A OUTPUT -p udp -s 192.168.1.0/24 --dport 137 -j ACCEPT

$IPT -A INPUT -p tcp -i $IF --dport 445 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 445 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 139 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 139 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 133 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 133 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 137 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 137 -j LDROP
printf "."

#Bloqueando Conexao ao Webmin pela internet
$IPT -A INPUT -p tcp -i $IF --dport 10000 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 10000 -j LDROP
printf "."

#Bloqueando Conexao ao FTP pela internet
$IPT -A INPUT -p tcp -i $IF --dport 21 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 21 -j LDROP
printf "."

#Bloqueando Conexao ao MySQL pela internet
$IPT -A INPUT -p tcp -i $IF --dport 3306 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 3306 -j LDROP
printf "."

#Bloqueando NFS
$IPT -A INPUT -p tcp -i $IF --dport 2049 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 2049 -j LDROP

#Bloqueando Conexao ao Apache pela internet
$IPT -A INPUT -p tcp -i $IF --dport 4000 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 4000 -j LDROP
printf "."

#Bloqueando Conexao a porta 80
$IPT -A INPUT -p tcp -i $IF --dport 80 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 80 -j LDROP
printf "."

#Bloqueando Conexao ao Squid pela internet
$IPT -A INPUT -p tcp -i $IF --dport 3128 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 3128 -j LDROP
printf "."

#Bloqueando Conexao SSH pela internet
$IPT -A INPUT -p tcp -i $IF --dport 22 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 22 -j LDROP
printf "."

#Bloqueando Back Orifice
$IPT -A INPUT -p tcp -i $IF --dport 31337 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 31337 -j LDROP
printf "."

#Bloqueando NetBus
$IPT -A INPUT -p tcp -i $IF --dport 12345:12346 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 12345:12346 -j LDROP
printf "."

#Bloqueando Trin00
$IPT -A INPUT -p tcp -i $IF --dport 1524 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 27665 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 27444 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 31335 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 31337 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 3080 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 3080 -j LDROP
printf "."

#Rejeitando (Nao aceitos) ident requeridos.
$IPT -A INPUT -p tcp -i $IF --dport 113 -j TREJECT
$IPT -A INPUT -p udp -i $IF --dport 113 -j TREJECT
printf "."

#Bloqueando acesso para o X Server.
$IPT -A INPUT -p tcp -i $IF --dport 5999:6003 -j LDROP
$IPT -A INPUT -p udp -i $IF --dport 5999:6003 -j LDROP
$IPT -A INPUT -p tcp -i $IF --dport 7100 -j LDROP
printf "."

#Setando telnet, www, smtp, pop3 e FTP para Pouco Delay
$IPT -t mangle -A OUTPUT -p tcp --dport 22 -j TOS --set-tos Minimize-Delay
$IPT -t mangle -A OUTPUT -p tcp --dport 23 -j TOS --set-tos Minimize-Delay
$IPT -t mangle -A OUTPUT -p tcp --dport 110 -j TOS --set-tos Minimize-Delay
printf "."

#Portas abertas para estabelecer conexoes
$IPT -A INPUT -m state --state ESTABLISHED -j ACCEPT
$IPT -A INPUT -m state --state RELATED -j ACCEPT
$IPT -A INPUT -p tcp -i $IF --dport 1023:65535 -j ACCEPT
$IPT -A INPUT -p udp -i $IF --dport 1023:65535 -j ACCEPT
$IPT –A INPUT –p tcp –i $IF –-dport 25000:30000 –j ACCEPT
$IPT -A INPUT -p tcp -i $IF --dport 2631 -j ACCEPT
$IPT -A INPUT -p udp -i $IF --dport 2631 -j ACCEPT
printf "."

$IPT -A INPUT -p icmp -i $IF -j LDROP
$IPT -A INPUT -p icmp --icmp-type echo-reply -s 0/0 -i $IF -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type destination-unreachable -s 0/0 -i $IF -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type time-exceeded -s 0/0 -i $IF -j ACCEPT
$IPT -A OUTPUT -p icmp -o $IF -j ACCEPT

#Bloqueando Tracertroute
$IPT -A INPUT -p udp -s 0/0 -i $IF --dport 33435:33525 -j DROP
printf "."

##### fim /etc/init.d/firewall #####


##### /etc/squid/squid.conf #####
#-----------------------------------------------------------------------------
# >> Configuracoes gerais <<
#-----------------------------------------------------------------------------
http_port 3128 transparent
visible_hostname VAINI
#-----------------------------------------------------------------------------
hierarchy_stoplist cgi-bin?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
cache_mem 128 MB
maximum_object_size_in_memory 100 KB
maximum_object_size 6144 KB
minimum_object_size 0 KB
ipcache_size 1024
ipcache_low 90
ipcache_high 95
cache_replacement_policy lru
memory_replacement_policy lru
logformat squid %ts.%03tu %6tr %>a %Ss/%03Hs %<st %rm %ru %un %Sh/%<A %mt
access_log /var/log/squid/access.log squid
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 3000 16 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_swap_log /var/spool/squid/swap.log
cache_mgr vaini@hotmail.com
error_directory /usr/share/squid/errors/Portuguese
coredump_dir /var/spool/squid
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
auth_param basic program /usr/lib/squid/smb_auth -W VAINI -U 192.168.1.3
auth_param basic children 5
auth_param basic casesensitive off
auth_param basic credentialsttl 2 hours
auth_param basic realm VAINI - Autenticacao de usuario requerida:
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> Inicio das ACLs <<
#-----------------------------------------------------------------------------
acl all src 192.168.1.0/255.255.255.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563 # snews
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 407 # msn
acl Safe_ports port 25 # smtp
acl Safe_ports port 110 # pop
acl Safe_ports port 1863 25000-30000 # msn-proxy
acl purge method PURGE
acl CONNECT method CONNECT
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> ACLs de Downloads Bloqueados/Liberados <<
#-----------------------------------------------------------------------------
acl DownloadsLiberados url_regex -i "/etc/squid/downloads.allow"
acl DownloadsBloqueados url_regex -i "/etc/squid/downloads.deny"
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> ACLs de Palavras Bloqueadas/Liberadas <<
#-----------------------------------------------------------------------------
acl PalavrasBloqueadas url_regex -i "/etc/squid/palavras.deny"
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> Definindo Parametros para MSN <<
#-----------------------------------------------------------------------------
acl MsnSources url_regex -i "/etc/squid/sites.msn"
acl MsnDomains dstdomain -i "/etc/squid/sites.msn"
acl MsnUrls urlpath_regex -i "/etc/squid/sites.msn"
acl MsnProgram req_mime_type application/X-msn-messenger
acl MsnManual dstdomain byrdr.omega.contacts.msn.com local-bay.contacts.msn.com byfiles.storage.msn.com akhtm.nspmotion.com blufiles.storage.msn.com www.gowindowslive.com view.atdmt.com local-sn.contacts.msn.com ec.atdmt.com tkrdr.storage.msn.com livefiles19.vo.msecnd.net www.sqm.microsoft.com sqmserver.dll switch.atdmt.com rsi.hotmail.com nspmotion.com icover.com.br rad.msn.com rmd.atdmt.com t.msn.com login.live.com config.messenger.msn.com gateway.messenger.hotmail.com
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> ACLs de Sites Bloqueados/Liberados <<
#-----------------------------------------------------------------------------
acl SitesLiberados url_regex -i "/etc/squid/sites.allow"
acl SitesBloqueados url_regex -i "/etc/squid/sites.deny"
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> ACLs de Sites Bloqueados Individuais por Funcionarios <<
#-----------------------------------------------------------------------------
acl SitesFernando url_regex -i "/etc/squid/sites.fernando"
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# ACLs dos Acessos Controlados por Autenticacao <<
#-----------------------------------------------------------------------------
acl Vaini proxy_auth vaini
acl Fernando proxy_auth fernando
acl MSNUser proxy_auth msn
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# >> Ativando as ACLs Padrao <<
#-----------------------------------------------------------------------------
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access deny to_localhost
#-----------------------------------------------------------------------------

#-----------------------------------------------------------------------------
# << Ativando as ACLs Personalizadas <<
#-----------------------------------------------------------------------------
http_access allow MsnManual
http_access deny MSNUser !MsnSources !MsnDomains !MsnUrls !MsnProgram
http_access allow Vaini
http_access allow DownloadsLiberados
http_access deny DownloadsBloqueados
http_access deny PalavrasBloqueadas
http_access deny SitesBloqueados
http_access allow SitesLiberados
http_access allow Fernando SitesFernando
http_access deny all
#-----------------------------------------------------------------------------

##### fim /etc/squid/squid.conf #####

vaini
(usa Debian)

Enviado em 25/11/2009 - 12:08h

galera, encontrei um erro que talvez possa ajudar.

digitei o seguinte comando:

# mysqladmin -u root password SENHA_DO_MYSQL

retornou o seguinte erro:
mysqladmin: connect to server at ´localhost´ failed
error: ´Access denied for user ´root´@´localhost´ (using password: NO)´

o que é esse erro e como resolver ele?

renato_pacheco
(usa Debian)

Enviado em 25/11/2009 - 12:15h

É pq talvez vc não tenha feito a senha do administrador ou vc não tenha permissão msm pra acessar, só q isso não é problema no seu caso, pq o msn-proxy registra o log com o root (q é aquele comando q testamos e comprovamos q ele tem poderes pra registrar dados no banco). Eu acredito ainda q pode ser problema na config daquele arquivo q passei no post anterior (algum dado errado ou similar).

vaini
(usa Debian)

Enviado em 25/11/2009 - 12:31h

ja chequei o arquivo /var/www/msn-proxy/mysql.inc.php esta tudo OK
por precaução chequei os outros tb /usr/local/etc/msn-proxy/msn-proxy.conf e /usr/local/etc/msn-proxy/mysql/conf

ufa...ja estou quase sem saida...acho que vou refazer o server...do zero....tenho backup dos confs....em uma hora eu termino tudo...

depois posto o resultado ai

vaini
(usa Debian)

Enviado em 25/11/2009 - 20:19h

A principio o problema parece ter sido resolvido.

O que fiz de diferente:

Reinstalei meu Debian usando a versao BusinessCard 5.03 (estava usando a netinst 5.02)
Instalei a libevent 1.4.12 (estava usando a 1.4.13)

Na real nao entendi ate agora o que estava acontecendo...mas enfim este problema resolveu.
Agora ficou um problema relativamente simples. Não está aparecendo a mensagem para o usuario de que a conversa esta sendo monitorada.

Vi muita gente falando de liberar as portas 25000 a 30000.
Alguem pode ajudar com essa regra de liberação?

vaini
(usa Debian)

Enviado em 26/11/2009 - 17:17h

Renato, agora funcionou perfeitamente.
Agora esta logando, e apresentando as mensagens de aviso ao usuario

Muito obrigado mesmo por sua ajuda.
É por causa de caras assim como vc e muitos outros aqui do VOL que esta comunidade só cresce a cada dia.

Valew.