Forum Debian Users Gang

kiedy · 2011-01-31 21:50:04

Witam
Mam pewien problem potrzebuję zablokować możliwość pobierania (np. w you tube) muzyki przez Real Playera.
Nie mam zbyt wielkiego doświadczenia jeżeli chodzi o IPTABLES.
Z tego co udało mi się zorientować to real player używa do tego portu 80. Nie mogę jednak zablokować portu tcp 80 ponieważ chce mieć dostęp do www.
Z góry dzięki za sugestie jak by można było to zrobić.

Paad · 2011-01-31 22:19:31

A musi być w iptables?
Może Squid Ci wystarczy http://www.cyberciti.biz/faq/squid-content-filter-block-files/

Pozdrawiam

kiedy · 2011-01-31 22:21:24

No właśnie już używam iptables do blokowania np gg i nie chciałbym zmieniać wszystkiego. Łatwiej mi będzie wprowadzić zmianę w iptables niż stawiać wszystko od nowa:P

Paad · 2011-01-31 22:31:38

Wiesz specjalistą od linuxa nie jestem, ale iptables filtruje pakiety - pozwoli Ci zablokować/przepuścić/przekierować ruch.
Możesz zablokować w nim port 80, ale jeżeli chcesz mieć odblokowany ze względu na zasoby www, to musisz zacząć kontrolować do nich dostęp, a wtedy w grę wchodzi Squid.

kiedy · 2011-01-31 22:39:05

Jeżeli chodzi o dostęp do stron www to możliwe jest np. zablokowanie w ogóle you tuba w iptables z tym nie ma problemu. Jednak dostęp chciałbym pozostawić. Zablokować jedynie możliwość pobierania muzyki.
Też nie czuję się silny w iptables jednak nie wiem czy nie jest możliwe wnikanie w pakiety (chyba moduł string) i przez zablokowanie konkretnego elementu w pakietach, które są pobierane jest jakaś rzecz :p poprzez identyfikację jej w tym strumieniu pobieranych danych można zablokować.
Mam nadzieje, że nie zakręciłem zbytnio.

Paad · 2011-01-31 22:46:53

kiedy napisał(-a):
Jeżeli chodzi o dostęp do stron www to możliwe jest np. zablokowanie w ogóle you tuba w iptables z tym nie ma problemu. Jednak dostęp chciałbym pozostawić. Zablokować jedynie możliwość pobierania muzyki.

czyli to co napisałem wcześniej musisz kontrolować dostęp do zasobów, wydaje mi się, że Squidem najlepiej.

kiedy napisał(-a):
Też nie czuję się silny w iptables jednak nie wiem czy nie jest możliwe wnikanie w pakiety (chyba moduł string) i przez zablokowanie konkretnego elementu w pakietach, które są pobierane jest jakaś rzecz :p poprzez identyfikację jej w tym strumieniu pobieranych danych można zablokować.
Mam nadzieje, że nie zakręciłem zbytnio.

O module string znalazłem coś takiego:
http://debian.linux.pl/content/405-Iptables-dla-poc … %85cych-cz.-4
Mam nadzieję, że moderatorzy wybaczą mi link do konkurencyjnego forum, ale w google było na pierwszej stronie;)

kiedy · 2011-01-31 22:53:44

Dzięki z tego co widzę to pozostało mi jeszcze wyczaić co jest charakterystycznego w pakietach, które płyną podczas pobierania i będzie po problemie.
Dzięki za link ;)

Paad · 2011-01-31 22:57:15

chyba najbardziej charakterystyczne będą rozszerzenia plików.

Jacekalex · 2011-02-01 00:00:34

Iptables nie działa na warstwie 7, żeby filtrować konkretne aplikacje.
To program, który konfiguruje firewalla wbudowanego w kernel, rozpoznającego stan pakietu (nowy, kontynuowany), i kilkadziesiąt innych testów, ale nie działa na warstwie aplikacji.

Można go rozszerzyć o moduł layer7 - który filtruje protokoły sieciowe.
Ale na liście protokołów Layer7 Real Playera nie widziałem.
Sznurki:
http://l7-filter.sourceforge.net/
http://l7-filter.sourceforge.net/protocols

Można natomiast użyć Apparmora, Grsecurity, i chyba Selinux też, ograniczając uprawnienia programu, tworząc szczegółowy profil, będący listą tego, co dany program może robić w systemie.

To by było na tyle
;-)

kiedy · 2011-02-01 08:26:04

Myślę, że odpalę Wiresharka jednocześnie ściągając coś z netu i zobaczę co mi pokaże. Może uda się zablokować po jakimś konkretnym znaku,który się powtarza. Dzięki za sznurki ;)

Jacekalex · 2011-02-01 08:59:53

Poszukaj conieco o tworzeniu filtrów dla layer7, jest w dokumentacji na stronie projektu.
http://l7-filter.sourceforge.net/Pattern-HOWTO

Ostatnio edytowany przez Jacekalex (2011-02-01 09:02:16)

kiedy · 2011-02-03 13:40:45

Witam
Nie było łatwo, ale się udało.
Więc tak jak pisałem wcześniej trzeba było odpalić Wiresharka i pooglądać sobie pakiety.
Regułka iptables dla real playera:
iptables -I FORWARD -m string --algo bm --hex-string "|3a 20 4b 65 65 70 2d 41 6c 69 76 65 0d 0a 0d 0a|" - m state --state NEW,ESTABLISHED,RELATED - j DROP

Po tym user może oglądać ale już niczego nie ściągnie ;)

Oglądając pakiety i otwierając różne stronki tym samym sposobem można zablokować np. nk.pl, żeby to zrobić wystarczy między " " wstawić:
6b 2e 70 6c 2f 0d 0a 0d 0a i już nie da się pooglądać nk :)
Pozdrawiam i dzięki wszystkim za pomoc.
[SOLVED]

Jacekalex · 2011-02-03 16:22:44

Co do Realplayera, gratuluję sukcesu.
Jedyna wada takiego rozwiązania, string potrzebuje sporych mocy obliczeniowych.
Ale jeśli działa, to warto.

Co do nk.pl - takie manewry nie mają sensu, jest 50 razy prostsza metoda:

Kod:

$ host nk.pl | grep addres
nk.pl has address 195.93.178.6
nk.pl has address 195.93.178.5

$ whois 195.93.178.5 | grep route
mnt-routes: SS7PRO-MNT
route: 195.93.178.0/24
route: 195.93.178.0/23

A potem iptables....

Pozdrawiam
;-)

Forum Debian Users Gang

Ogłoszenie

#1 2011-01-31 21:50:04

kiedy - Użytkownik

[SOLVED] Real Player i IPTABLES

#2 2011-01-31 22:19:31

Paad - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#3 2011-01-31 22:21:24

kiedy - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#4 2011-01-31 22:31:38

Paad - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#5 2011-01-31 22:39:05

kiedy - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#6 2011-01-31 22:46:53

Paad - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

kiedy napisał(-a):

kiedy napisał(-a):

#7 2011-01-31 22:53:44

kiedy - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#8 2011-01-31 22:57:15

Paad - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#9 2011-02-01 00:00:34

Jacekalex - Podobno człowiek...;)

Re: [SOLVED] Real Player i IPTABLES

#10 2011-02-01 08:26:04

kiedy - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#11 2011-02-01 08:59:53

Jacekalex - Podobno człowiek...;)

Re: [SOLVED] Real Player i IPTABLES

#12 2011-02-03 13:40:45

kiedy - Użytkownik

Re: [SOLVED] Real Player i IPTABLES

#13 2011-02-03 16:22:44

Jacekalex - Podobno człowiek...;)

Re: [SOLVED] Real Player i IPTABLES

Kod:

Stopka forum