ipfw и фильтрации по содержимому пакетов

[GRooVE]

Повторюсь: синтаксис не помню!
Смысл вот в чем (правда для актуально для pf):
В версии freebsd 7.0 и новее к каждому правилу pf - автоматически добавляется "keep-state". Возможно с ipfw такая же самая ситуация и у Вас просто автоматически создаются динамические правила, инициализированные правилом для порта 5190, для разрешения передачи файлов по другим портам. В случае с pf, я бы попытался в явную задать no-state для правила!
Ну это как вариант!
Кстати, какое у Вас правило в фаерволе по-умолчанию: deny all / allow all? Да и вообще покажите конфиг!

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[hizel]

в ipfw keep-state приписывается лапками в нужных местах :-\

[GRooVE]

только что проверил... передача идет действительно через 5190
скажите, а как Вы собирались резать передачу по заголовкам? всмысле по какому заголовку ?

[savio]

я ж написал постами выше. резать пакеты которые имеют длину более или равную 1400 и у которых dst-port = 1590.

[savio]

я так понимаю ни ipfw ни pf не умеют фильтровать по размеру пакета. ну а можно natd заставить пропускать через себя пакеты не больше нужного по длине?

[_kirill_]

я так понимаю ни ipfw ни pf не умеют фильтровать по размеру пакета.

Код: Выделить всё

man ipfw

не смотрел?

[savio]

смотрел. не вижу я там. ткните плиз пальцем, ато не вижу....

[hizel]

а я не вижу смысла фильтровать по размеру пакета, но вот вам с барского плеча:

Код: Выделить всё

     iplen len-list
             Matches IP packets whose total length, including header and data,
             is in the set len-list, which is either a single value or a list
             of values or ranges specified in the same way as ports.

[paradox]

прям как в сказке
у миня при моем реал айпи невсегда получаеться отправить/получить файлы
и то в аське для этого опции нужно включать (для передачи файлов)

а увас все на оборот

а попробуйте запретить вообще коннект через 5190

я не удивлюсь если и с таким правилом у вас аська передаст файл...
или получит... уж незнаю что вы там пробуете

[GRooVE]

как вариант:
любым ресурс-эдитором открываем файл qip.exe (либо нужную dll'ку) и удаляем галочку "разрешить передачу файлов", предварительно сняв ее!
после - копируем файл каждому клиенту и через ntfs закрываем доступ на запись в данный файл
правда актуально только для офисов с правами пользователя на компьютере, но все же

[savio]

прям как в сказке
у миня при моем реал айпи невсегда получаеться отправить/получить файлы
и то в аське для этого опции нужно включать (для передачи файлов)

а увас все на оборот

а попробуйте запретить вообще коннект через 5190

я не удивлюсь если и с таким правилом у вас аська передаст файл...
или получит... уж незнаю что вы там пробуете

не знаю что у вас за инет и что за реал айпи. но у меня за NAТ'ом файлы по icq отправляються без проблем.
Да, галка на прием файлов в qip'е стоит.
Если вас действительно интересует, то почитайте о протоколе icq. при закрытых портах на передачу файла, файл передается через сервер AOL

P.S. а какой у вас icq-клиент? у меня на qip 8092 и icq 6.5 все пашет

[paradox]

наскоко я помню аська не передает файлы через сервер icq тоесь через порт 5190
потому как нет смысла грузить так траффиком сервер аола
поэтому как там у вас все работает....
диву даешься.. когда читаешь

[savio]

читайте тут http://ru.wikipedia.org/wiki/ICQ

Код: Выделить всё

Начиная же с ICQ 5, появилась возможность передавать файлы через сам сервер ICQ, 
который играет посредническую роль. Это необходимо в том случае, если клиент ICQ
определил, что P2P-соединение установить невозможно (закрытые порты в
 межсетевых экранах, отсутствие персонального внешнего IP и др.).

[paradox]

ну тогда вообще забудте о том что бы закрыть передачу файлов через аську

[hizel]

ну тогда вообще забудте о том что бы закрыть передачу файлов через аську

есть есть выход!
напейсать свой divert фильтр! :]

[paradox]

ну я не говорю что вообще выходов нет

просто даже написа фильтр это мало чем поможет
какой критерий фильтрации?
содержимое?
а если я отправлю кому то файл с именем "приветик моя любимая!"
?

выход всегда можно найти
просто нужен изворотливый ум+думалку

но ответа на самый главный вопрос - зачем юзерам все резать - я так и не понял

[hizel]

вопрос не корректен
надо значит надо
ну например: накчальство потребовало, какие вопрсы тут!?

[koffu]

Количество пакетов в секунду, 10кб отправляешь, перелимит попадает в цепочку с 70% drop-ов пакетов - передача будет просто зависать. Я не думаю, что можно с клавы обеспечить большие всплески, а вот файлом да. Пусть кусками по 5кб передают.

[hizel]

ту хуже
достаточно вспомнить кол-во и какчест-во воя по поводу нестыковок MTU
топекстатера без вазелина изнасилуют за такие эксперементы

[savio]

вопрос не корректен
надо значит надо
ну например: накчальство потребовало, какие вопрсы тут!?

угу. потребовало начальство.
есть в локальной сети народ, которые за инет платить не хотят, не нужен он им(и такие есть), хлебом не корми, а вот ресурсы сети подавай!
Решило начальсво сделать такой себе модный сервис - icq без инета(мелочь, а приятно)

[savio]

ну я не говорю что вообще выходов нет

просто даже написа фильтр это мало чем поможет
какой критерий фильтрации?
содержимое?
а если я отправлю кому то файл с именем "приветик моя любимая!"
?

выход всегда можно найти
просто нужен изворотливый ум+думалку

но ответа на самый главный вопрос - зачем юзерам все резать - я так и не понял

ну почемуше, есть некоторая последовательность символов, которая присутствует при пересылки файлов
вот как решается проблема под linux

Код: Выделить всё

1) POILICY в iptables по всем направлениям DROP. 
2)  iptables -I FORWARD -p tcp --sport 5190 -m string --string "_FT" --algo kmp -j DROP 
     iptables -I FORWARD -p tcp --dport 5190 -m string --string "_FT" --algo kmp -j DROP 
     Эти два правила запретят передачу пакетов по портам ICQ, где содержится строка "_FT", 
которая содержится в пакетах при передаче файлов аськой. 
3) Разрешаем форвардинг только одного порта ICQ (5190) в обе стороны: 
     iptables -A FORWARD -p tcp --sport 5190 -j ACCEPT 
     iptables -A FORWARD -p tcp --dport 5190 -j ACCEPT 
 
Все! И не важно, какой клиент аськи, квип, родной, sim... Протокол-то един для всех...

[paradox]

вопрос не корректен
надо значит надо
ну например: накчальство потребовало, какие вопрсы тут!?

угу
завтра начальтсво скажет берите лопаты и копайте нам траншею до хелсенки
мы оптику хотим прямо туда!

тоже пойдете копать?
нуну

админ на то и админ что он должен оценивать бзыки начальтсва и говроить реально или нет

1) POILICY в iptables по всем направлениям DROP.
2) iptables -I FORWARD -p tcp --sport 5190 -m string --string "_FT" --algo kmp -j DROP
iptables -I FORWARD -p tcp --dport 5190 -m string --string "_FT" --algo kmp -j DROP
Эти два правила запретят передачу пакетов по портам ICQ, где содержится строка "_FT", которая содержится в пакетах при передаче файлов аськой.
3) Разрешаем форвардинг только одного порта ICQ (5190) в обе стороны:
iptables -A FORWARD -p tcp --sport 5190 -j ACCEPT
iptables -A FORWARD -p tcp --dport 5190 -j ACCEPT
Все! И не важно, какой клиент аськи, квип, родной, sim... Протокол-то един для всех...

меня это больше всего пугает
малоли что там за строки
вдруг у вас в сообщении будет строка *_FT*
что будет?
да и вообще наивно полагать что если у вас такой ушлый народ то они не найдут любую лазейку что бы не поюзать ее

не можно конечно еще и по айпи адрессам ограничивать
кто ж спорит

говорю же придумать можно чего угодно

[savio]

ну я лично считаю что это просто отговорки..... эсть задача. да, согласен, не совсем "нормальная", для такой задачи есть не совсем "нормальное" решение. загвоздка в том что ришение чисто под linux, перевести на ipfw - так ipfw такого не умеет оказывается. вот и вся засада.

[Gloft]

Для интереса погуглил и нашёл
http://icq.rambler.ru/help/filetransfer/

Могу ли я пересылать файлы при наличии брандмауэра?
Да, если настроить его соответствующим образом.
Если Вы не можете получать или отправлять файлы через ICQ, проверьте, не находитесь ли Вы за брандмауэром. Если Вы или Ваш друг находитесь за брандмауэром, вы оба должны будете настроить его соответствующим образом.
Вас также могут попросить разрешить программе Icqlite.exe выступать в качестве сервера или принимать соединения из Интернета при попытке передачи файлов, запуска игр и использования таких опций, как Video, Push-to-Talk и голосовой чат. Вам нужно будет поддержать это соединение, если Вы хотите, чтобы эти опции работали исправно.
Когда Вы пересылаете файлы и играете в игры, программа ICQ устанавливает прямое TCP соединение через порт в диапазоне от 1025 до 65536. Другими словами, программа ICQ устанавливает одноранговое соединение, в том смысле что и Ваш компьютер, и компьютер Вашего друга соединены между собой напрямую. Если этот способ соединения не оказывается успешным, как правило, из-за брандмауэра и/или NAT ограничений, но у обеих сторон установлена ICQ 5, программа ICQ попробует использовать другие, непрямые способы соединения.
Внимание! Если Вы выберете HTTP в качестве Вашего прокси-сервера, Вы, вероятно, не сможете отправлять файлы или играть в игры через ICQ.
Для получения более подробной информации о программе ICQ и брандмауэрах, нажмите сюда.

Собственно идея в том чтобы пускать пользователей с аськой но без инета через http прокси.
И уже в случае необходимости резать на прокси по содержанию, там функций больше, хотя судя из поста выше там и так не должно ничего работать.

[schizoid]

собсна а разве iptables во фре нельзя заюзать?