bloqueio do messenger do hotmail.com não funciona

philippeliso
(usa Ubuntu)

Enviado em 25/03/2011 - 09:17h

Bom galera...
Aqui na empresa onde trabalho, até mais ou menos 1 mes e meio, eu conseguia bloquear o MSN do site do Hotmail....porem de uns dias pra ca descobri que estão acessando via HTTPS....

possuo Squid e iptables, o software do windows live eu consigo bloquear tranquilo, e a porta 80 tb....o problema q estão digitando https://mail.live.com ou https://login.live.com e conseguem entrar.....tentei diversas regras inclusive bloquear acessoo total aos Hosts citados e nada, o site apenas demora para entrar mais entra...

ja procurei todos os sites e bloqueei-os os que o windows live usa para conexão, não sei mais o que tentar.....

como tao usando HTTPS o squid nao gerencia, pois se eu colocar o Squid pra gerenciar a porta 443, um monte de site não vai entrar, trazendo mais dor de cabeça ainda...

por isso precisava bloquear pelo firewall mesmo...

segue a config do meu firewall....

......


iptables -A INPUT -s 192.168.0.130 -d mail.live.com -p tcp --syn -j DROP
iptables -A INPUT -s 192.168.0.130 -d login.live.com -p tcp --syn -j DROP

iptables -A INPUT -s 192.168.0.35 -d mail.live.com -p tcp --syn -j DROP
iptables -A INPUT -s 192.168.0.35 -d login.live.com -p tcp --syn -j DROP
iptables -A INPUT -s 192.168.0.35 -d fss.live.com -p tcp --syn -j DROP


iptables -A FORWARD -s 192.168.0.35 -d hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d orkut.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d orkut.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.orkut.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.orkut.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d facebook.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d facebook.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.facebook.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.facebook.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d twitter.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d twitter.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.twitter.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.twitter.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d meebo.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d meebo.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.meebo.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.meebo.com -p tcp --dport 443 -j DROP
iptables -A OUTPUT -s 192.168.0.35 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d login.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d login.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d fss.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d fss.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d www.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d www.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d login.live.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d login.live.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d accountservices.msn.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d accountservices.msn.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d accountservices.passport.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d accountservices.passport.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d secure.shared.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d secure.shared.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d signup.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d signup.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d security.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d security.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d extended-validation-ssl.verisign.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d extended-validation-ssl.verisign.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d secure.wlxrs.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d secure.wlxrs.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d rsi.hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d rsi.hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d ows.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d ows.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d config.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d config.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.35 -d co121ds.col121.mail.services.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.35 -d co121ds.col121.mail.services.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d 65.54.165.179 -j REJECT
iptables -A FORWARD -s 192.168.0.130 -d 64.4.56.215 -j REJECT


##
iptables -A FORWARD -s 192.168.0.130 -d 65.54.165.179 -j REJECT
iptables -A FORWARD -s 192.168.0.130 -d 64.4.56.215 -j REJECT
iptables -A FORWARD -s 192.168.0.130 -d co121ds.col121.mail.services.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d co121ds.col121.mail.services.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d orkut.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d orkut.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.orkut.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.orkut.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d facebook.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d facebook.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.facebook.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.facebook.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d twitter.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d twitter.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.twitter.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.twitter.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d meebo.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d meebo.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.meebo.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.meebo.com -p tcp --dport 443 -j DROP
iptables -A OUTPUT -s 192.168.0.130 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d mail.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d login.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d login.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d fss.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d fss.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d www.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d www.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d login.live.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d login.live.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d accountservices.msn.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d accountservices.msn.com.nsatc.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d accountservices.passport.net -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d accountservices.passport.net -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d secure.shared.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d secure.shared.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d signup.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d signup.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d security.live.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d security.live.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d extended-validation-ssl.verisign.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d extended-validation-ssl.verisign.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d secure.wlxrs.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d secure.wlxrs.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d rsi.hotmail.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d rsi.hotmail.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d ows.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d ows.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A FORWARD -s 192.168.0.130 -d config.messenger.msn.com -p tcp --dport 443 -j DROP
iptables -A INPUT -s 192.168.0.130 -d config.messenger.msn.com -p tcp --dport 443 -j DROP
........

Engraçado que as mesmas regras para orkut, twitter, facebook em HTTPS funcionam perfeitamente......ou seja, a pagina de login da live esta usando algum outro site...


se alguem puder me ajudar

Valeu!

renato_pacheco
(usa Debian)

Enviado em 25/03/2011 - 09:47h

Vc já tentou fazer uma análise mais profunda, tipo, simulando uma conexão e verificar, via sniffer (wireshark ou tcpdump) quais são as portas e IP's q são utilizados para a autenticação do MSN? A partir desta análise vc teria alguma pista.

will_drop
(usa Ubuntu)

Enviado em 25/03/2011 - 10:20h

kra, nao é mais facil vc bloquear toda e qlqr passagem ou Saida para a porta 443?

iptables -I FORWARD -s xx.yy.zz.ww -p tcp --dport 443 -j REJECT
iptables -I FORWARD -s xx.yy.zz.ww -p udp --dport 443 -j REJECT

iptables -I OUTPUT -s xx.yy.zz.ww -p tcp --dport 443 -j REJECT
iptables -I OUTPUT -s xx.zz.yy.ww -p udp --dport 443 -j REJECT

iptables -I FORWARD -s xx.yy.zz.ww -p tcp --dport 443 -j REJECT
iptables -I FORWARD -s xx.yy.zz.ww -p udp --dport 443 -j REJECT

ou ainda por status:

iptables -I FORWARD -m state --state NEW -p tcp -s xx.yy.zz.ww --dport 443 -j DROP

coisas assim, do q ficar bloqueando site por site de conexao? afinal vai site vem site, a porta continua a mesma...

philippeliso
(usa Ubuntu)

Enviado em 25/03/2011 - 10:39h

não posso bloquear todos os acessos a porta 443, pois a pessoa usa sites https para trabalho..


Sobre as portas e ips.......no site da microsoft eles informam tudo que utiliza para acessar o MSN e não a pagina entendeu??? http://support.microsoft.com/kb/927847/pt-br

sobre os sniffers vc poderia me dar alguma dica de como utilizar ou indicar algum tutorial desses que vc indica?!?!

renato_pacheco
(usa Debian)

Enviado em 25/03/2011 - 11:07h

Não tem segredo. Se fou Ubuntu ou Debian, faça:

# aptitude install wireshark

Ele funciona em modo gráfico. Ele é simples d usar, só q vc tem q saber bem sobre a pilha TCP/IP, senão num vai entender patavinas...

andrecanhadas
(usa Debian)

Enviado em 11/05/2011 - 16:09h

Aqui depois de muita luta funcionou somente pelo squid: (somente o web messenger dentro do hotmail.com , msn.com e similares)

acl msn_on arp "/etc/squid3/msn_on" ### (Mac dos usuários liberados)
acl msn_site url_regex -i "/etc/squid3/msn_site" ### (Lista de urls para bloqueio do web messenger)

Conteudo msn_site:
/gateway/gateway.dll?
gateway/gateway.dll
messenger.services.live.com
gateway.messenger.live.com
gateway.messenger.live.com/gateway
messenger.services.live.com/*
messenger.hotmail.com
geo.messenger.services.live.com
webmessenger.msn.com
.gateway.messenger.live.com/*

#http_access deny msn_site ## Bloqueio Geral
http_access deny msn_site !msn_on ### Permitido usuários listados em msn_on

obs: tiver que reiniciar o serviço do squid
Para o bloqueio do software desktop, como as estações são ruindows usei GPO (politica de restrição de software)

will_drop
(usa Ubuntu)

Enviado em 11/05/2011 - 16:22h

faça o seguinte

coloque o log do firewall ou do squid qual vc preferir para ficar escutando a sua maquina,

tail -f /var/log/syslog | grep "teu ip"
tail -f /var/log/squid/access.log | grep "teu ip"

entre no hotmail, e clique no canto esquerdo para logar no messenger

chame alguem na conversa se for o caso, porem acredito que apenas clicando para logar ele ja deve dar o endereço de logon do messenger na pagina do hotmail....

o mesmo pode ser feito com o gtalk no gmail...

;)

maurolarrat
(usa Ubuntu)

Enviado em 12/05/2011 - 15:01h

Acabei de implementar o bloqueio de msn no meu firewall aqui:

# Bloqueio de MSN (antes da regra do squid) no iptables
iptables -A FORWARD -s $LAN -p tcp -m multiport --dport 1863,5190 -j DROP


# no squid


# Para bloqueio do msn messenger.
acl MSNMESSENGER url_regex -i /gateway/gateway.dll
acl MSNMESSENGER2 dstdomain "/etc/squid/bloqueados/sites"
acl MSNMESSENGER3 url_regex -i ADSAdClient31.dll

# Bloqueia msn messenger.
http_access deny MSNMESSENGER MSNMESSENGER2 MSNMESSENGER3


o arquivo sites tem:

## LISTA PARA BLOQUEIO DO MSN
200.177.97.157
207.46.111.54
207.46.111.54/gateway
207.46.113.220
207.46.108.51
207.68.178.239
65.212.92.104
65.50.10.6
65.212.92.111
64.58.88.113
ADSAdClient31.dll
login.live.com
spaces.live.com
passport.com
msn.com.br
msn.com
sc.msn.com
rad.msn.com
tp.msn.com
c.msn.com
msn.be
hp.msn.com
hpc.msn.com
hm.msn.com
#
stb.msn.com
stj.msn.com
mymsn.hotmail.com
ads1.msn.com
hotmail.msn.com
storage.msn.com
st.msn.com
stc.msn.com
#
msn_messenger
config.messenger.msn.com
media.meegos.com
messenger
gateway.dll
messenger.msn.com.br
http.msg.yahoo.com
nickname.msn.com.br
chat.msn.com
chat.msn.com.br
msgr.hotmail.com
gateway.messenger.hotmail.com
http1.msgr.hotmail.com
http2.msgr.hotmail.com
http3.msgr.hotmail.com
http4.msgr.hotmail.com
http5.msgr.hotmail.com
http6.msgr.hotmail.com
http7.msgr.hotmail.com
http8.msgr.hotmail.com
http9.msgr.hotmail.com
http10.msgr.hotmail.com
http11.msgr.hotmail.com
http12.msgr.hotmail.com
http13.msgr.hotmail.com
http14.msgr.hotmail.com
http15.msgr.hotmail.com
http16.msgr.hotmail.com
http17.msgr.hotmail.com
http18.msgr.hotmail.com
http19.msgr.hotmail.com
http20.msgr.hotmail.com
x-msn
#
## OUTROS LINKS PARA WEB-MESSENGER
#
meebo.com
65.19.140.246
ebuddy.com
193.238.160.62
msn2go.com
69.64.38.128
e-messenger.net
82.98.252.234
phonefox.com
85.184.4.3
193.238.162.21
msnger.com
216.32.66.234
torperkut.com
65.99.232.42
go.icq.com
64.12.164.120
wbmsn.net
212.227.34.3
bhi.com.br
messengerfx.com

philippeliso
(usa Ubuntu)

Enviado em 12/05/2011 - 16:00h

testei o que os amigos indicaram, sem sucesso....

o programa consigo bloquear....o problema é meu squid só filtra a porta 80, e nao a 443(https), ou seja, o msn do site do hotmail continua entrando quando o usuario digita https://hotmail.com...

Queria bloquear o acesso https apenas para o site do hotmail, não pretendo usar o squid para filtrar a porta 443 devido a um monte de problemas com outros sites que podem surgir.

will_drop
(usa Ubuntu)

Enviado em 12/05/2011 - 20:12h

certo se vc nao qr squid

faça o seguinte

crie um script que ping o login do hotmail e pegue seu ip para bloquear

use esse script que tenho no firewall

for i in `cat /etc/firewall/site_bloqueados`; do

ping -c 1 -w 1 $i > /dev/null ; if [ $? -eq 0 ]; then

$IPTAB -I FORWARD -s $i -j DROP -m comment --comment "$i";
$IPTAB -I FORWARD -d $i -j DROP -m comment --comment "$i";

echo "Bloqueio Realizado - Pagina $i"

else

echo "Bloqueio Nao Realizado - Pagina $i"

fi

done

po arquivo /etc/firewall/site_bloqueados coloque la

hotmail.com
www.hotmail.com
hotmail.com.br
live.com

qlqr coisa q possa acessar o msn

existe uma diferença no drop e no reject

nao lembro exatamente qual é qual

mas uma(drop ou reject) ira da erro de pagina, na pagina bloqueada e outra(drop ou reject) ira ficar carregando eternamente e nao vai entrar xD

espero q isso te ajude parceiro

abraço

islan
(usa Debian)

Enviado em 15/05/2011 - 15:14h

Cara essa regras bloquearam o messenger (tanto o programa quanto o acesso pelo site do hotmail.com e hotmail.com.br) em todas as empresas que presto servico, vai funcionar com voce também, nao se esquece de apos inserir as regres, reiniciar o compartilhamento e o squid

#/etc/init.d/compartilhamento restart
#/etc/init.d/squid reload

#/etc/squid/squid.conf
# se lembra de colocar a acl de bloqueio no squid antes da acl redelocal

acl msn url_regex -i /gateway/gateway.dll
http_access deny msn

acl redelocal src 192.168.1.0/24
http_access allow localhost
http_access allow redelocal
http_access deny all


#/etc/init.d/compartilhamento
# para liberar o messenger para o chefe, tem de colocar uma regra para o ip que a maquina dele antes da regra de bloqueio do messenger em toda a rede


# liberando o messenger pra jurgleide e para beth

#jurgleide
iptables -A FORWARD -s 192.168.1.157 -p tcp --dport 1863 -j ACCEPT
iptables -A FORWARD -s 192.168.1.157 -d loginnet.passport.com -j ACCEPT

#beth com fio
iptables -A FORWARD -s 192.168.1.159 -p tcp --dport 1863 -j ACCEPT
iptables -A FORWARD -s 192.168.1.159 -d loginnet.passport.com -j ACCEPT

#bloqueando o messenger
iptables -A FORWARD -s 192.168.1.0/24 -p tcp --dport 1863 -j REJECT
iptables -A FORWARD -s 192.168.1.0/24 -d loginnet.passport.com -j REJECT

leosousa84
(usa Red Hat)

Enviado em 31/08/2011 - 22:22h

Se você seguir a dica acima vai funcionar perfeitamente, fiz aqui e funcionou suave. Lembrando que a linha acl e deny tem que ficar antes da rede local.
Muito obrigado.