ipfw и фильтрации по содержимому пакетов

[savio]

В iptables это делается например, так:

Код: Выделить всё

iptables -I INPUT -j DROP -p tcp -m string --string "cmd.exe"

а в ipfw нету аналога? пересмотрел ман фаервола, не нашел...

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[hizel]

нет нету
по задумке для этого есть divert socket интерфейс в юзерлэнд :]

[savio]

понятно.... жаль... задался целью блокировать передачу файлов через icq... видел только в таком функционале решение проблемы

[paradox]

вечно вам что то ограничить, зарезать, рубануть нужно

да отключите нафиг юзеров от интернета
чем такой интернет давать
который порезаный
поснифаный

вообщем не интернет а какое то жалкое подобие

[savio]

а кто сказал слово "Интернет"?
мне как раз нужно дать аську без инета. только зарезать передачу файлов.
типа такой себе модный сервис в сети
вот и все.

[hizel]

через socks проксятку дай :]

[paradox]

какой кошмар
я считал что пакеты доступа - "безлимитный интерет ввиде доступа к icq" умер еще в начале 2000 года
оказываеться о как

ннда

наскоко я помню файлы через 5190 не передаються

[savio]

какой кошмар
я считал что пакеты доступа - "безлимитный интерет ввиде доступа к icq" умер еще в начале 2000 года
оказываеться о как

ннда

наскоко я помню файлы через 5190 не передаються

все отправляется на ура. разрешил только 5190 для ПК(192.168.0.99)

Код: Выделить всё

...
ipfw add 100 divert 6893 all from 192.168.0.99 to any 5190 out via ng0
...

[savio]

через socks проксятку дай :]

а что socks даст? через него можно запретить отправку файлов?

[schizoid]

socks-proxy

[savio]

устновил 3proxy, включил только socks-proxy. передача файла прошла без проблем......

[savio]

а как обстоят дела с передачей файлов у jabber'а? у него тоже передача файлов идет через тот жде порт что и сам конект или нет?

[schizoid]

может зарезать скорость пользователю 3proxy?
тогда никто и не будет передавать файлы. если скорость никакая будет

[savio]

у меня такая мысль уже была... тут можно даже без 3proxy обойтись, просто резать скорость на 5190 порт и все...

[MASiK]

Непонятно а понт урезания скорости? в qip да и не только можно Вообще самому порт выбрать, хоть 80

Тут по моему фиг чё сделаешь...

Если тока всем на Виндах врубить Фаэрвол )))) И там запретить программе месенджера махинации с файлами

[savio]

ну а по размеру пакеты ipfw может делять allow/deny или нет?
например пропускать пакет, если его размер меньше чем Х кбит

[hizel]

смысловой нагрузки нет :]

[savio]

как раз есть. это решит мою проблему с передачей файлов через icq.
знакомый юзает microtic'и, указал для NAT'а что максимальный пакет который может проходить - 5(наверное килобайт)
и все тут. большие файлы не шлются. да, минус есть, что большой текст тоже не отошлется, но меня это устраивает.
Так что, любимая нами фряха со своим ipfw не может такого получается?

[hizel]

максимальный пакет равен MTU обычно около 1500 байт ^_^

[savio]

передача файла через icq. cмотрю tcpdump'ом

Код: Выделить всё

....
19:15:08.739562 IP (tos 0x0, ttl 106, id 53778, offset 0, flags [DF], proto TCP (6), length 40) afxs-d11b.blue.aol.com.aol > 192.168.0.99.4639: ., cksum 0xdd3d (correct), ack 1998133 win 65535
19:15:08.740033 IP (tos 0x0, ttl 64, id 18013, offset 0, flags [DF], proto TCP (6), length 1400) 192.168.0.99.4639 > afxs-d11b.blue.aol.com.aol: . 2012469:2013829(1360) ack 269 win 65012
19:15:08.740048 IP (tos 0x0, ttl 64, id 18014, offset 0, flags [DF], proto TCP (6), length 728) 192.168.0.99.4639 > afxs-d11b.blue.aol.com.aol: P 2013829:2014517(688) ack 269 win 65012
19:15:08.760296 IP (tos 0x0, ttl 106, id 54005, offset 0, flags [DF], proto TCP (6), length 40) afxs-d11b.blue.aol.com.aol > 192.168.0.99.4639: ., cksum 0xd53d (correct), ack 2000181 win 65535
19:15:08.760646 IP (tos 0x0, ttl 64, id 18015, offset 0, flags [DF], proto TCP (6), length 1400) 192.168.0.99.4639 > afxs-d11b.blue.aol.com.aol: . 2014517:2015877(1360) ack 269 win 65012
19:15:08.760771 IP (tos 0x0, ttl 64, id 18016, offset 0, flags [DF], proto TCP (6), length 728) 192.168.0.99.4639 > afxs-d11b.blue.aol.com.aol: P 2015877:2016565(688) ack 269 win 65012
.....

я так понимаю что length это и есть размер пакета
при перепыске length обычно больше 200 не бывает.
можно ли блокировать ipfw'ом(или чем-то других для freebsd) пакеты с length>=1400?

[hizel]

категорически не рекомендую

вы кстати уверены что при использовании socks прокси сервера файло отправляется через тот же socks ?

P.S. асько - гуано :-)

[savio]

ну говно аська, проблема то не решится после этого.........
пробовал, шлется на ура

Код: Выделить всё

9: ., cksum 0x81cf (incorrect (-> 0x3cf5), ack 605337 win 788
19:33:32.325609 IP (tos 0x0, ttl 64, id 28002, offset 0, flags [DF], proto TCP (6), length 1500) 192.168.0.99.4719 > bosyak.socks: . 605337:606797(1460) ack 0 win 63958
19:33:32.325616 IP (tos 0x0, ttl 64, id 28003, offset 0, flags [DF], proto TCP (6), length 628) 192.168.0.99.4719 > bosyak.socks: P 606797:607385(588) ack 0 win 63958
19:33:32.325644 IP (tos 0x0, ttl 64, id 14863, offset 0, flags [DF], proto TCP (6), length 40) bosyak.socks > 192.168.0.99.4719: ., cksum 0x81cf (incorrect (-> 0x35f5), ack 607385 win 532
19:33:32.325733 IP (tos 0x0, ttl 64, id 28004, offset 0, flags [DF], proto TCP (6), length 1500) 192.168.0.99.4719 > bosyak.socks: . 607385:608845(1460) ack 0 win 63958
19:33:32.325741 IP (tos 0x0, ttl 64, id 28005, offset 0, flags [DF], proto TCP (6), length 628) 192.168.0.99.4719 > bosyak.socks: P 608845:609433(588) ack 0 win 63958
19:33:32.325768 IP (tos 0x0, ttl 64, id 14864, offset 0, flags [DF], proto TCP (6), length 40) bosyak.socks > 192.168.0.99.4719: ., cksum 0x81cf (incorrect (-> 0x2ef5), ack 609433 win 276
19:33:32.325859 IP (tos 0x0, ttl 64, id 28006, offset 0, flags [DF], proto TCP (6), length 1500) 192.168.0.99.4719 > bosyak.socks: . 609433:610893(1460) ack 0 win 63958

[savio]

так может ipfw или не может фильтровать по length???

[GRooVE]

Могу ошибаться, но может добавить в правило ipfw "no-state" и добавить еще одно правило на входящий траффик?
Синтаксис точно не помню, юзаю pf, но, думаю, смысл понятен...

[savio]

Могу ошибаться, но может добавить в правило ipfw "no-state" и добавить еще одно правило на входящий траффик?
Синтаксис точно не помню, юзаю pf, но, думаю, смысл понятен...

неа, смысл мне не ясен. не подскажите где почитать чего дает no-state?