iptables + layer7 loga e bloqueia emule, msn, mas msn file transfer não!!! =(

[flep]

Olá pessoal.

Tenho aqui o layer7 instalado, funcionando bonitinho.
Consigo logar o uso do emule e bloqueá-lo, e fazendo testes consigo o mesmo com o MSN.
Mas não precisamos bloquear o MSN, quero apenas bloquear a transferência de arquivos dele.

Usando
$IPT -A FORWARD -m layer7 --l7proto msn-filetransfer -j LOG --log-prefix "MSN file transfer: "
$IPT -A FORWARD -m layer7 --l7proto msn-filetransfer -j DROP
não acontece nada. O estranho que são as mesmas regras para fazer o mesmo com o emule e até o msn, so trocando o sufixo obviamente.

Lembrando que utilizo transparent proxy.
Até já aproveito para perguntar: quando vou enviar um arquivo pelo MSN para outro MSN logado na mesma rede, o MSN detecta que é para a rede interna? Sendo assim, teria como bloquear somente o msn-filetransfer pra quando o destino for fora da minha rede?

Abraços.

[alexandrecorrea]

atualiza os protocolos do l7 !!

o mesmo acontece com o skypeout !! nao consegue logar...

[flep]

Postado Originalmente por Alexandre Correa

atualiza os protocolos do l7 !!

o mesmo acontece com o skypeout !! nao consegue logar...

E como faço isso? =P
Conferi o msn-filetransfer.pat e ele esta igual ao mostrado no site do projeto, então creio que atualizar não vai mudar nada....

[alexandrecorrea]

entao ja mudou o sistema do msn !!!

eh complicado porque a cada versao do msn (por exemplo).. eles mudam alguma coisa no protocolo.. atrapalha TUDO..

talvez se vc monitorar o trafego com o ettereal .. e verficar o cabeçalho das transferencias... vc consiga montar um .pat !!!

[flep]

Postado Originalmente por Alexandre Correa

entao ja mudou o sistema do msn !!!

eh complicado porque a cada versao do msn (por exemplo).. eles mudam alguma coisa no protocolo.. atrapalha TUDO..

talvez se vc monitorar o trafego com o ettereal .. e verficar o cabeçalho das transferencias... vc consiga montar um .pat !!!

Se vc puder me dar uma dica de como monitorar isso pra pegar o cabeçalho, ou me informar um link onde explique, seria ótimo!!

Eles mudaram mesmo, inclusive aquela antiga solução de bloquear as portas 6891 a 6901 também nao funciona mais, pois eles agora usam um range muito louco, que pode pegar desde 4826 a 4955, mas pode também sair deste range, ou seja, sem padrão algum, o que impossibilita bloquear 100% por iptables sem layer7.

[Josevaldo]

ola pessoal;

na realidade, espero implementar o l7 filter, no meu slack 10.2, com kernel 2.6.13, porem não estou conseguindo fazer a compilação e habilitar a opção no kernel, alguem pode me ajudar a fazer isso.
obrigado