[Comm] 2 proxy

[Comm] 2 proxy

[dima]

Здравствуйте, All!

Есть сетка, инет раздается через файрвол на
некоторые машины...
Но периодически появляются грамотные юзверя, 
которые сатавят на эти машины проксю и ходят 
через них в инет. Как бы на сервере отрубить 
такие попытки, т.е. отследить соединение,
пришедшее с прокси.

-- 
WBR, Dmitry Belyayev
email: dima@donauto.net.ua
icq:   228889622

RE: [Comm] 2 proxy

[Макс]

Ни как!

-----Original Message-----
From: community-bounces@altlinux.ru [mailto:community-bounces@altlinux.ru]
On Behalf Of dima@donauto.net.ua
Sent: Friday, September 24, 2004 6:17 PM
To: community@altlinux.ru
Subject: [Comm] 2 proxy

Здравствуйте, All!

Есть сетка, инет раздается через файрвол на
некоторые машины...
Но периодически появляются грамотные юзверя, 
которые сатавят на эти машины проксю и ходят 
через них в инет. Как бы на сервере отрубить 
такие попытки, т.е. отследить соединение,
пришедшее с прокси.

-- 
WBR, Dmitry Belyayev
email: dima@donauto.net.ua
icq:   228889622
_______________________________________________
Community mailing list
Community@altlinux.ru
https://lists.altlinux.ru/mailman/listinfo/community

Re: [Comm] 2 proxy

[Vladimir Cherednichenko]

В сообщении от Пятница 24 Сентябрь 2004 17:17 dima@donauto.net.ua написал(a):
> Здравствуйте, All!
>
> Есть сетка, инет раздается через файрвол на
> некоторые машины...
> Но периодически появляются грамотные юзверя,
> которые сатавят на эти машины проксю и ходят
> через них в инет. Как бы на сервере отрубить
> такие попытки, т.е. отследить соединение,
> пришедшее с прокси.

смотрите в сторону ebtables 

-- 
Best Regards, Vladimir Cherednichenko  
R.E.D Team | Admin
Ukraine | Kiev

Re: [Comm] 2 proxy

[dima]

On Fri, Sep 24, 2004 at 05:36:20PM +0300, Vladimir Cherednichenko wrote:
> В сообщении от Пятница 24 Сентябрь 2004 17:17 dima@donauto.net.ua написал(a):> Здравствуйте, All!>> Есть сетка, инет раздается через файрвол на> некоторые машины...> Но периодически появляются грамотные юзверя,> которые сатавят на эти машины проксю и ходят> через них в инет. Как бы на сервере отрубить> такие попытки, т.е. отследить соединение,> пришедшее с прокси.
> смотрите в сторону ebtables 
> -- Best Regards, Vladimir Cherednichenko  R.E.D Team | AdminUkraine | Kiev

Насколько я понимаю, ebtables -- почти iptables,
только работают с MAC адресами.
Тоже самое можно сделать с помощью
iptables -m mac

но это не спасет от прокси на тачке с интернетом...

-- 
WBR, Dmitry Belyayev
email: dima@donauto.net.ua
icq:   228889622

Re: [Comm] 2 proxy

[some_x]

dima@donauto.net.ua wrote:

>Здравствуйте, All!
>
>Есть сетка, инет раздается через файрвол на
>некоторые машины...
>Но периодически появляются грамотные юзверя, 
>которые сатавят на эти машины проксю и ходят 
>через них в инет. Как бы на сервере отрубить 
>такие попытки, т.е. отследить соединение,
>пришедшее с прокси.
>
>  
>
По порту

Re: [Comm] 2 proxy

[Serge Polkovnikov]

[-- Attachment #1: Type: text/plain, Size: 122 bytes --]

п'ятниця, 24-вер-2004 17:43, some_x Ви написали:
> По порту

Интересно... По какому?

-- 
С уважением
 Сергей Полковников

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] 2 proxy

[some_x]

Serge Polkovnikov wrote:

>п'ятниця, 24-вер-2004 17:43, some_x Ви написали:
>  
>
>>По порту
>>    
>>
>
>Интересно... По какому?
>  
>
По стандартному для прокси.

Re: [Comm] 2 proxy

[Serge Polkovnikov]

[-- Attachment #1: Type: text/plain, Size: 204 bytes --]

п'ятниця, 24-вер-2004 18:07, some_x Ви написали:
> >Интересно... По какому?
> >  
>
> По стандартному для прокси.

Есть стандарный _исходящий_ порт для прокси-сервера?
-- 
С уважением
 Сергей Полковников

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] 2 proxy

[some_x]

Serge Polkovnikov wrote:

>п'ятниця, 24-вер-2004 18:07, some_x Ви написали:
>  
>
>>>Интересно... По какому?
>>> 
>>>      
>>>
>>По стандартному для прокси.
>>    
>>
>
>Есть стандарный _исходящий_ порт для прокси-сервера?
>  
>
80-й кажись

Re: [Comm] 2 proxy

[Serge Polkovnikov]

[-- Attachment #1: Type: text/plain, Size: 397 bytes --]

п'ятниця, 24-вер-2004 18:39, some_x написал:
> Serge Polkovnikov wrote:
> >п'ятниця, 24-вер-2004 18:07, some_x Ви написали:
> >>>Интересно... По какому?
> >>
> >>По стандартному для прокси.
> >
> >Есть стандарный _исходящий_ порт для прокси-сервера?
>
> 80-й кажись
>
Извините, но мне кажется, что Вы "плаваете" в материале...

-- 
С уважением,
   Сергей Полковников        JID: p_serge@jabber.ru

[-- Attachment #2: signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] 2 proxy

[Nizamov Shavkat]

> Здравствуйте, All!
>
> Есть сетка, инет раздается через файрвол на
> некоторые машины...
> Но периодически появляются грамотные юзверя,
> которые сатавят на эти машины проксю и ходят
> через них в инет. Как бы на сервере отрубить
> такие попытки, т.е. отследить соединение,
> пришедшее с прокси.
>

это сложная задача, поскольку трудно отличить кто лезет в интернет -
вэб-клиент или прокси. однако есть одна зацепка - прокси вставляет в http
запрос поле X-forwarded-for, по которому можно судить что данный
http-запрос сформирован проксей, а не просто броузером. таким образом в
теории имеем решение - средствами iptables дропаем пакеты идущие на
известные http порты - 80, 1080, 3128, 8080, 8081 и т.д, содержащие в теле
пакета строчку X-Forwarded-For. этим мы рубим обмен по протоколу http.

здесь есть одна сложность - такая функциональность была только привнесена
в iptables на тот момент, когда меня интересовал такой же вопрос (год-
полтора назад) - не то это был патч, не то плугин. как обстоит дело сейчас
- пусть скажут спецы по iptables.

Re: [Comm] 2 proxy

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 1163 bytes --]

Nizamov Shavkat пишет:
>>Здравствуйте, All!
>>
>>Есть сетка, инет раздается через файрвол на
>>некоторые машины...
>>Но периодически появляются грамотные юзверя,
>>которые сатавят на эти машины проксю и ходят
>>через них в инет. Как бы на сервере отрубить
>>такие попытки, т.е. отследить соединение,
>>пришедшее с прокси.
>>
> 
> это сложная задача, поскольку трудно отличить кто лезет в интернет -
> вэб-клиент или прокси. однако есть одна зацепка - прокси вставляет в http
> запрос поле X-forwarded-for, по которому можно судить что данный
> http-запрос сформирован проксей, а не просто броузером. таким образом в
> теории имеем решение - средствами iptables дропаем пакеты идущие на
> известные http порты - 80, 1080, 3128, 8080, 8081 и т.д, содержащие в теле
> пакета строчку X-Forwarded-For. этим мы рубим обмен по протоколу http.
> 
> здесь есть одна сложность - такая функциональность была только привнесена
> в iptables на тот момент, когда меня интересовал такой же вопрос (год-
> полтора назад) - не то это был патч, не то плугин. как обстоит дело сейчас
> - пусть скажут спецы по iptables.

http://l7-filter.sourceforge.net/
Может оно сможет помочь?..

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] 2 proxy

[Pavel Shurubura]

А чем для Вас это черевато ?
Пусть ходят через прокси. Почему Вас это беспокоит ?


> Есть сетка, инет раздается через файрвол на
> некоторые машины...
> Но периодически появляются грамотные юзверя, 
> которые сатавят на эти машины проксю и ходят 
> через них в инет. Как бы на сервере отрубить 
> такие попытки, т.е. отследить соединение,
> пришедшее с прокси.


-- 
With kindest regards, Pavel.

Re: [Comm] 2 proxy

[Ivan Fedorov]

[-- Attachment #1: Type: text/plain, Size: 159 bytes --]

Pavel Shurubura пишет:
> А чем для Вас это черевато ?
> Пусть ходят через прокси. Почему Вас это беспокоит ?
Через прокси у него ходят те, кому не положено...

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] 2 proxy

[dm]

Здравствуйте, dima@donauto.net.ua!

Пятница 24 Сентябрь 2004 18:17, Вы писали:

> Есть сетка, инет раздается через файрвол на
> некоторые машины...
> Но периодически появляются грамотные юзверя,
> которые сатавят на эти машины проксю и ходят
> через них в инет. Как бы на сервере отрубить
> такие попытки, т.е. отследить соединение,
> пришедшее с прокси.

Мне представляется, что Вы немного не с того конца берётесь за это дело. 
Решайте вопрос прежде всего организационными, а не техническими мерами. 
В противном случае просто получите <<соревнование брони и снаряда>>, 
которое никуда не ведёт. Даже если, как написано в соседней ветке, Вы 
научитесь ловить пакеты прокси по каким-либо признакам, кто-нибудь 
просто найдёт способ обходить и эту защиту, только и всего.

-- 
-------------------------------------
dm <deadmustdie at pisem point net>

Re: [Comm] 2 proxy

[Nizamov Shavkat]

> Здравствуйте, dima@donauto.net.ua!
>
> Пятница 24 Сентябрь 2004 18:17, Вы писали:
>
>> Есть сетка, инет раздается через файрвол на
>> некоторые машины...
>> Но периодически появляются грамотные юзверя,
>> которые сатавят на эти машины проксю и ходят
>> через них в инет. Как бы на сервере отрубить
>> такие попытки, т.е. отследить соединение,
>> пришедшее с прокси.
>
> Мне представляется, что Вы немного не с того конца берётесь за это дело.
> Решайте вопрос прежде всего организационными, а не техническими мерами.
> В противном случае просто получите <<соревнование брони и снаряда>>,
> которое никуда не ведёт. Даже если, как написано в соседней ветке, Вы
> научитесь ловить пакеты прокси по каким-либо признакам, кто-нибудь
> просто найдёт способ обходить и эту защиту, только и всего.
>

могу даже предложить как обойти %)
1) пропатчить проксю на предмет удаления x-forwarded-for. AFAIK это просто
информативное поле, то есть если его убрать прокся будет работатать точно
так же что и ранее.

2) вариант предыдущего - обычным hexedit ом покоцать бинарник прокси на
предмет изменения текстовой строчки x-forwarded-for на нечто другое

3) пользовать не http прокси а socks. AFAIK socks работает примерно на
таком же принципе что и нат, то есть "отсебятину" не вставляет. здесь могу
ошибаться поскольку с socks не знаком

4) самый простой - ставить не прокси а обычный нат.

Но на это админ может ответить следующим образом

1) ограничить канал на ip-адрес скажем на уровне 2-3-4 кбайт-с Один
пользователь еще сможет нормально работать, двое уже будут значительно
мешать друг-другу, а 3 и больше пользователей  на один канал напомнят
печальную картину "интернет-кафе всего несколько лет назад".
делается это средствами squid или iptables, поможет в любом случае.

2) ограничить количество коннектов (сессик) с одного ip-адреса -
посредством сквида acl maxconn (или же iptables - если у него есть такая
фича ). тоже хороший вариант

3) вот неуверен насчет ttl пакетов - nat уменьшает его или нет ? если
уменьшает - то опять таки Iptables в руки и режем пакеты с меньшим ttl.
хотя вряд ли - нат это не роутинг.

4) дать по голове сильно-сильно

Re: [Comm] 2 proxy

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Sat, 25 Sep 2004, Nizamov Shavkat wrote:

> 3) вот неуверен насчет ttl пакетов - nat уменьшает его или нет ? если
> уменьшает - то опять таки Iptables в руки и режем пакеты с меньшим ttl.

Обычно уменьшает (прим. 1). Но можно попросить, чтобы не
уменьшал. ;-)  Кстати, против "чайников" (см. прим. 1)  с натом
помогает принудительное выставление TTL в единицу...

Вообще, IMHO, наиболее правильный метод -- административный,
потом -- предложенная ранее авторизация.

P.S. [offtopic] Сдаётся мне, что автор ветки -- либо
представитель так называемых "домашних сетей", предлагающих
дешёвый "unlimited" трафик и живущих главным образом за счёт
подключения клиентов, а не абонентки/оплаты трафика либо админ в
некоей конторе, где хитро#$пые юзера на халявку подворовывают
трафик.

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.0 (GNU/Linux)

iD8DBQFBWVlf2gaLrWRbr5URAj2PAJ0YqoAUT8mJMefnBBuNYKIIEIR3SwCffopa
6b4deqxaCj2BhRVe0jdrN3M=
=X9Ht
-----END PGP SIGNATURE-----

[Comm] Re: 2 proxy

[Michael Shigorin]

On Fri, Sep 24, 2004 at 05:17:20PM +0300, dima@donauto.net.ua wrote:
> Есть сетка, инет раздается через файрвол на некоторые машины...
> Но периодически появляются грамотные юзверя, которые сатавят на
> эти машины проксю и ходят через них в инет.

Раздавайте через авторизованный прокси.  Кто других в свою квоту
пустит (по полосе/объёму) -- тот уже ССЗБ, ну и ловить проще
будет.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/