Layer7 + skype

debian_forex
(usa Debian)

Enviado em 17/06/2010 - 13:31h

Ola a todos!

Tenho o seguinte problema.

Tenho que liberar o acesso ao skype e ao msn no meu trabalho, porem nao posso permitir o uso de programas p2p e de navega'c~ao anonima como tor, openproxy e outros.

Modifiquei meu debian 5 para o iptables usar o modulo do layer7 para eu poder liberar o skype e o msnmessenger mas nao deu certo os teste que eu fiz. vejam as regras do iptables abaixo, tem poucos regras porque estou testando. Pelo que eu li e busquei na internet somente com as regras abaixo era para o skype funcionar mas parece que ele nao usa os protocolos skypetoskype e ou skyout, quando monitoro com o wireshark aparece uns protocolos muitos loucos.

Desde ja agradeco.

################################################################

# Habilitar o encaminhamento de pacotes
#----------------------------------------------------------

echo 1 > /proc/sys/net/ipv4/ip_forward

# Carrega modulos
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
modprobe xt_layer7

# Limpar todas as tabelas - filter / nat / mangle
#------------------------------------------------------------

# desliga balanceamento
#./desliga_balanceador

iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X
iptables -t mangle -F
iptables -t mangle -X

# Definir a politica padrao das cadeias (chains)
# basicamente da tabela filter
#----------------------------------------------------------

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -t nat -A POSTROUTING -s 192.168.0.0/22 -o eth1 -j MASQUERADE

# Libera conexoes estabelecidas
#----------------------------------------------------------
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Essas regras nao funcionao
iptables -A FORWARD -m layer7 --l7proto skypetoskype -j ACCEPT
iptables -A FORWARD -m layer7 --l7proto skypeout -j ACCEPT
iptables -A FORWARD -m layer7 --l7proto msn-filetransfer -j ACCEPT
iptables -A FORWARD -m layer7 --l7proto msnmessenger -j ACCEPT

########################################################################

debian_forex
(usa Debian)

Enviado em 17/06/2010 - 15:20h

Estou vendo que não tem solução para essa questão que não seja radical, ou libera tudo ou bloqueia tudo.

abs, george.

hrapytor
(usa Debian)

Enviado em 17/06/2010 - 20:27h

Olá no meu tabalho usamos os computadores em domínio windows 2003.
Faço o bloqueio ou liberação do skype/msn pelo squid, se você também usado dominio e liberação de internet por grupos te passo como fazer, por layer7 nunca fiz.

Até + e boa sorte.