Firewall e Skype

[malatodihardware]

Da quello che indicano sul sito Skype (https://support.skype.com/it/faq/FA148/quali-porte-devono-essere-aperte-per-poter-usare-skype-per-windows) dovrebbe utilizzare le porte 80 e 443 in uscita, il mio firewall è configurato per bloccare tutte le connessioni in uscita ad eccezione di queste due porte, però Skype non funziona ugualmente.

Avete qualche consiglio?

[anubbio]

Il fw ha le 2 porte aperte in uscita, ma devono esserlo anche in ingresso affinché Skype possa funzionare. E' così ?

[malatodihardware]

Non mi risulta che debbano essere aperte anche in ingresso (NAT), anche perchè altrimenti come faresti se hai più client skype all'interno della stessa rete?
Oltretutto Skype nel link specifica "accesso TCP in uscita"

[anubbio]

Sì ma dice anche:
Quando installi Skype, una porta superiore a 1024 viene scelta a caso come porta per le connessioni in entrata. Se lo disideri, puoi configurare Skype che usi un'altra porta per le connessioni in entrata, ma in questo caso devi aprire la porta alternativa manualmente.

Se la porta scelta per le connessioni in entrata non è più disponibile, per impostazione predefinita le porte 80 e 443 vengono usate come porte alternative.
quindi, visto che sul fw mi sembra di capire che tu abbia chiuso tutto in ingresso, ne consegue che skype cercherà di usare in ingresso la 80/443.
Quindi le devi aprire....

[malatodihardware]

C'è qualcosa che non mi torna nella traduzione:

Allora vorrebbe dire che tutti i router normali da casa (che in ingresso di default hanno tutto bloccato) non possono usare skype?

Comunque lasciando tutto bloccato in ingresso ma permettendo tutto in uscita (sia TCP che UDP) funziona, quindi secondo me l'ingresso non conta molto..

[anubbio]

Beh per i dettagli bisognerebbe sapere come lavora il protocollo di skype.

Però il fatto che tu dica che ora funziona è perché avendo fatto una chiamata (immagino), a quel punto la connessione è stabilita per cui da quel momento il fw non blocca più i pacchetti in ingresso su quella stessa porta. Giustamente.

Per fare la controprova bisognerebbe:

chiudere il client (così da chiudere la connessione)
bloccare sul fw la 80/443 in uscita
riaprire il client (che a quel punto non può dire a server che sta in ascolto sulla 80/443 visto che non riesce a uscire)
farti chiamare da un client esterno.

Secondo me a quel punto non ti arriva la chiamata.
Se così fosse, sarebbe confermato che adesso ti va perché la 80/443 aperte in uscita hanno fatto sì che ti arrivassero chiamate in ingresso perché la connessione a quel punto era established.

Sono stato un po' confuso, lo so..... :mc:

[malatodihardware]

No, forse non ci siamo capiti.
80 e 443 sono sempre aperte (anche perchè altrimenti non potrei navigare in internet), il problema è che Skype sembra richiedere altre porte..

Questa è la prova che lo dimostra:
Situazione di partenza -> Solo porte 80 e 443 aperte in uscita, nessuna porta aperta in ingresso
Apro Skype -> Non funziona
Chiudo Skype
Modifico il firewall -> Aperte in uscita tutte le porte TCP e UDP
Pulisco la tabella di stato del firewall
Apro Skype -> Tutto ok funziona perfettamente
Chiudo Skype
Modifico il firewall -> Aperte in uscita solo porte 80 e 443
Pulisco la tabella di stato del firewall
Apro Skype -> Non funziona

[anubbio]

Mmmmm..... non so....

Quando dici:
Modifico il firewall -> Aperte in uscita solo porte 80 e 443
sono comunque aperte tcp e udp, vero ?

Ho provato a vedere che succede sul mio:
quando apro skype vengono create 4 connessioni tcp con ip destinatario diversi ta loro e vengono create anche 5 socket per accettare pacchetti udp.
Poi subito dopo rimangono solo 3 connessioni tcp e due socket udp.
La porta che specifico come porta di ingresso viene usata da socket udp, non da connessioni tcp.
Purtroppo altro non riesco a capire, mi spiace.....

[anubbio]

Edit msg precedente

[malatodihardware]

Sto facendo delle prove ed in realtà ogni tanto parrebbe funzionare..
L'unico problema (ma ci può stare) è che le chiamate ci mettono di più (almeno 15/20 secondi) a partire, probabilmente perchè devono prima aspettare il timeout di tutte le connessioni UDP che falliscono

Ogni tanto va e ogni tanto no. Boh, non ci capisco più niente!

EDIT: Erano solo TCP (così diceva Skype), adesso provo anche con UDP

[anubbio]

Sì skype dice così ma mi sa che è incompleto l'help.

Infatti nel mio vedo che una socket udp è in ascolto proprio sulla porta che nel menù opzioni di skype indico come porta da usare per le connessioni in entrata.....

[malatodihardware]

Dopo un pomeriggio di prove (dannato Skype\Microsoft :muro: :muro:) probabilmente ho risolto definitivamente il problema:

praticamente (non chiedetemi il perchè ma è così, ho fatto almeno 10 prove)

quando Skype si autentica automaticamente all'avvio bastano le porte 80 TCP e 443 TCP aperte in uscita per farlo funzionare correttamente (anche se c'è un leggero ritardo all'avvio delle conversazioni)
quando invece si fa il login manualmente inserendo nome utente e password (ad esempio dopo aver cliccato su esci invece che chiudi) serve aver aperta in uscita anche la porta 33033 TCP in uscita.


PS: E' proprio vero che l'informatica è pazza, per esempio con Skype c'è chi si danna per bloccarlo e chi si danna per sbloccarlo! :D

[anubbio]

Sì è come dici, guarda qui
link (http://www.sans.org/reading_room/whitepapers/voip/skype-practical-security-analysis_32918)
cercando "33033" ti dice subito proprio questa cosa.

Ovviamente lo dico col senno del poi..... :D

Come disse qualcuno: tutto è bene ciò che finisce bene.... :cool:

[malatodihardware]

Certo se tutti documentassero le cose come si deve sarebbe molto più semplice!

[degli]

Da quello che indicano sul sito Skype (https://support.skype.com/it/faq/FA148/quali-porte-devono-essere-aperte-per-poter-usare-skype-per-windows) dovrebbe utilizzare le porte 80 e 443 in uscita, il mio firewall è configurato per bloccare tutte le connessioni in uscita ad eccezione di queste due porte, però Skype non funziona ugualmente.

Avete qualche consiglio?

Hai seguito questa guida?

https://support.skype.com/it/faq/FA148/quali-porte-devono-essere-aperte-per-poter-usare-skype-per-windows

[malatodihardware]

Se leggevi tutto c'era già scritto come ho risolto (tra l'altro quel link è lo stesso che ho messo nel primo post :D), e la soluzione non c'è in nessun documento ufficiale Skype visto che questa porta 33033 la omettono, l'unico riferimento è il link di annubio che però è parecchio difficile da trovare se non cerchi per il numero esatto della porta..