Blocco MSN Messenger e IM in generale...

[Alberto_y]

Salve a tutti, avrei necessità per una serie di motivi di impedire che dalla mia LAN si possano utilizzare i vari servizi di IM ed in particolare quelli MSN.
Abbiamo un firewall Cisco PIX501 ma non sono ancora riuscito a farcela...
Ho provato utilizzando diverse informazioni reperite (IP, porte, url,etc.) in rete ma non ho raggiunto il traguardo.
Da quello che ho capito non ho l'URL filtering sul FW, però posso bloccare IP e porte varie.
Credo che il problema sia che si connette via http in quanto la regola generale è "blocco tutto e apro solo ciò che serve", però provando a dirgli di bloccare sulla 80 un determinato IP...se ne frega, o almeno così pare.
Qualcuno ha qualche info in merito?
Grazie a tutti!

PS: potrei anche installare un programma per filtrare gli URL, so che mi potrei appoggiare a Websense ma è commerciale, però su uno dei server Linux ne potrei mettere uno Open se c'è...

[pasquale.debartolo]

Non impazzire, tanto c'è anche la versione web del messenger ;-)

[Alberto_y]

Originariamente inviato da pasquale.debartolo

Non impazzire, tanto c'è anche la versione web del messenger ;-)

Con l'url filtering impedisci l'uso anche di quello...
Idem se blocchi gli IP di quei siti.

[Alberto_y]

...nessun consiglio...

[Dieguito85]

Originariamente inviato da Alberto_y

Salve a tutti, avrei necessità per una serie di motivi di impedire che dalla mia LAN si possano utilizzare i vari servizi di IM ed in particolare quelli MSN.
Abbiamo un firewall Cisco PIX501 ma non sono ancora riuscito a farcela...
Ho provato utilizzando diverse informazioni reperite (IP, porte, url,etc.) in rete ma non ho raggiunto il traguardo.
Da quello che ho capito non ho l'URL filtering sul FW, però posso bloccare IP e porte varie.
Credo che il problema sia che si connette via http in quanto la regola generale è "blocco tutto e apro solo ciò che serve", però provando a dirgli di bloccare sulla 80 un determinato IP...se ne frega, o almeno così pare.
Qualcuno ha qualche info in merito?
Grazie a tutti!

PS: potrei anche installare un programma per filtrare gli URL, so che mi potrei appoggiare a Websense ma è commerciale, però su uno dei server Linux ne potrei mettere uno Open se c'è...

scusami nn puoi disinstallare messenger dai pc e impedirne la reinstallazione levando i diritti di amministratore di sistema all'utente?

[marcocappe]

Prova a creare un access list che blocca l'indirizzo messenger.hotmail.com sulla porta 1863 e 80 e guarda se funziona.

[Alberto_y]

Originariamente inviato da Dieguito85

scusami nn puoi disinstallare messenger dai pc e impedirne la reinstallazione levando i diritti di amministratore di sistema all'utente?

Ho provato un paio di volte, però alcuni programmacci del cavolo che usiamo non funzionano correttamente, dovrei "affinare" di diritti, appena avrò un pò di tempo e un server sarà PDC probabilmente sarà l'azione giusta.


PS: proverò con l'ACL...ho visto che bisogna bloccare un sacco di IP, ogni volta che ne bloccano si connetteva ad altri...vi faccio sapere.

[Dieguito85]

Originariamente inviato da Alberto_y

Ho provato un paio di volte, però alcuni programmacci del cavolo che usiamo non funzionano correttamente, dovrei "affinare" di diritti, appena avrò un pò di tempo e un server sarà PDC probabilmente sarà l'azione giusta.


PS: proverò con l'ACL...ho visto che bisogna bloccare un sacco di IP, ogni volta che ne bloccano si connetteva ad altri...vi faccio sapere.

prova e fammi sapere thanks

[Alberto_y]

Originariamente inviato da Dieguito85

prova e fammi sapere thanks

Bloccati:
object-group service MSN_Messenger_tcp tcp
description MSN Messenger tries to use these ports
port-object eq www
port-object eq 1863
port-object eq 7001

object-group network MSN_Messenger_hosts
description hosts that MSN Messenger lives on
network-object 65.54.195.0 255.255.255.0
network-object 65.54.225.0 255.255.255.0
network-object 65.54.226.0 255.255.254.0
network-object 65.54.228.0 255.255.254.0
network-object host 65.54.240.61
network-object host 65.54.240.62
network-object 207.46.104.0 255.255.252.0
network-object 207.46.108.0 255.255.255.0
network-object 207.68.171.0 255.255.255.0

: Yahoo instant messenger
access-list acl-inside deny ip any host 64.58.78.228
access-list acl-inside deny ip any host 66.163.172.50
access-list acl-inside deny ip any host 66.163.172.51
access-list acl-inside deny ip any host 216.136.232.154
access-list acl-inside deny ip any host 64.58.78.227

: microsoft messenger
access-list acl-inside deny tcp any object-group MSN_Messenger_hosts object-group MSN_Messenger_tcp


Note, however, that this will break access to hotmail, which uses some
of the hosts in the ranges listed for MSN_Messenger_hosts. If you
care about hotmail, then before the blocking of MSN_Messnger_tcp, you
have to permit access to the hosts associated with hotmail, which we
have down as:

object-group network MSN_hotmail_hosts
description hosts that www.hotmail.com (loginnet.passport.com) lives on
network-object host 65.54.131.192
network-object host 65.54.140.158
network-object host 65.54.225.156
network-object host 65.54.225.241
network-object host 65.54.225.254
network-object host 65.54.226.246
network-object host 65.54.226.247
network-object host 65.54.226.248
network-object host 65.54.226.249
network-object host 65.54.228.250
network-object host 65.54.225.251
network-object host 65.54.226.252
network-object host 65.54.226.254
network-object host 65.54.228.243
network-object host 65.54.228.244
network-object host 65.54.228.253
network-object host 65.54.229.248
network-object host 65.54.229.252
network-object host 65.54.229.253
network-object host 65.54.229.254
network-object host 66.59.149.199
network-object host 66.77.43.101
network-object host 207.68.171.232
network-object host 207.68.171.233
network-object host 207.68.172.239
network-object host 207.68.172.249
network-object host 207.68.173.245
network-object host 207.68.173.246

+ login.live.msn o come piffero si chiama+gli indirizzi (2) di webmessenger.msn.com e funziona.
Per le porte invece nulla, in quanto blocco tutto e poi apro solo ciò che serve, quindi nessun problema, stava già usando la 80 il furbetto.