[MSNv5] Blokkeren

[DGTL_Magician]

In de search een hoop gevonden over het blokkeren van MSN versie 5. Vooral voor mensen die op scholen werken is dit interessant. Echter tot op heden nog geen oplossing gevonden die _wel_ Hotmail laat werken en _niet_ MSN.

Ik heb het nu alsvolgt opgelost:
207.46.0.0/16 geblokkeerd in de Bordermanager server op het werk. In deze reeks zitten de MSN servers. Waarom MS hier zoveel adressen voor reserveert snap ik niet echt, misschien dat iemand anders dat weet?

Als je hotmail niet veel kan schelen, dan kun je gewoon login.passport.com en loginnet.passport.com blokkeren.

[Verwijderd]

Gewoon de ntfs rechten instellen op de map c:\program files\msn messenger, zodanig de studenten geen toegang hebben tot die map en dan kunnen ze msn niet gebruiken maar wel nog surfen naar www.hotmail.be.

[Taigu]

en vervolgens installeert de gebruiker msn in c:\msn.... Geen oplossing dus. Hoe kundig zijn de gebruikers ? kunnen ze proxies instellen ? Anders zou je dat kunnen doen, en dan http op 8080 oid

[Verwijderd]

En dan is msn geblokkeerd en dan installeren ze trillian

[ScuL]

ja of een webbased client.
en als zelfs dat geblokkeerd is dan gaan we over tot het installeren van een HTTPProxy op de server thuis waar we vrolijk naar toe tunnelen.. kortom.. systeembeheerders kunnen doen wat ze willen maar ze houden mij toch niet tegen om te msn-en waar ik wil

(ik ben trouwens zelf ook systeembeheerder.. part-time welliswaar)

[Verwijderd]

de stekker er uit

[Metten]

Verwijderd schreef op 25 March 2003 @ 12:49:
En dan is msn geblokkeerd en dan installeren ze trillian

Als de MSN servers geblokkeerd zijn zal trillian daar ook niet mee kunnen connecten hoor

[olafhartong]

is het niet makkelijker om poort 1863 gewoon dicht te zetten ?

[Falcon]

Wij hebben het als volgt op gelost! ..

gewoon via squid (vraag me niet wat het is . maar het zit in linux ).

In squid hebben de volgende woorden geblokt:

- Messenger
- Chat
- Porno
- Sex

En als er ook maar iets van die woorden in de url staat of op de site dan is het Access Denied (aangepaste html pagina... met "NIET OP DEZE SITE MANNEKE" )

Ze moeten dus wel via proxy op internet zitten. Want dit staat ingesteld op een proxy

[ Voor 13% gewijzigd door Falcon op 25-03-2003 13:23 ]

[DGTL_Magician]

-ScuL- schreef op 25 maart 2003 @ 12:51:
ja of een webbased client.
en als zelfs dat geblokkeerd is dan gaan we over tot het installeren van een HTTPProxy op de server thuis waar we vrolijk naar toe tunnelen.. kortom.. systeembeheerders kunnen doen wat ze willen maar ze houden mij toch niet tegen om te msn-en waar ik wil

(ik ben trouwens zelf ook systeembeheerder.. part-time welliswaar)

HTTPTunnel en HTTP Proxy zijn ook geblokkeerd ;-)

olafhartong schreef op 25 March 2003 @ 13:11:
is het niet makkelijker om poort 1863 gewoon dicht te zetten ?

Dan pakt ie gewoon poort 80, klote MSNv5.

[ Voor 18% gewijzigd door DGTL_Magician op 25-03-2003 13:25 ]

[olafhartong]

DGTL_Magician schreef op 25 March 2003 @ 13:25:

[...]

Dan pakt ie gewoon poort 80, klote MSNv5.

Das minder en trillian doet hetzelfde :\
Ik wil hier hetzelfde doen maar kan me niet permiteren hotmail te blocken en als ik port 1863 op mn pix dichtgooi blijft msn het idd vrolijk doen.

[Predator]

PNS -> NT

[Verwijderd]

Wij hebben bij de bordermanager access rules de volgende sites geblokkeerd... en dat lijkt te werken

http://*.messenger.hotmail.com/*.*
http://*msgr.hotmail.com/*.*

[olafhartong]

mja maar dit is op een Cisco PIX firewall helaas niet te doen...

[Attilla]

olafhartong schreef op 25 maart 2003 @ 14:01:
mja maar dit is op een Cisco PIX firewall helaas niet te doen...

Je kan toch gewoon zoals in de startpost staat 207.46.0.0/16 blokkeren ?
Het lijkt me sterk dat een pix'je dat niet kan.

[ Voor 3% gewijzigd door Attilla op 25-03-2003 14:07 ]

[Verwijderd]

ja of een webbased client.
en als zelfs dat geblokkeerd is dan gaan we over tot het installeren van een HTTPProxy op de server thuis waar we vrolijk naar toe tunnelen.. kortom.. systeembeheerders kunnen doen wat ze willen maar ze houden mij toch niet tegen om te msn-en waar ik wil

(ik ben trouwens zelf ook systeembeheerder.. part-time welliswaar)

Oh, jawel, met een contentfilter kan ik er echt voor zorgen dat je er niet bij komt, waar de server ook zit en op welke poort ook!

[ScuL]

ik vraag het me af ... Tunnels kun je ook bouwen op poort 80; die kun je niet dichtgooien ivm het normale webverkeer. Al zou je via een proxy gaan en dus geen directe of NAT-verbinding hebben dan kun je alsnog bij je tunnel komen. Het contentfilter kan uit die datastroom echt niet uitvissen wat ik over die tunnel stuur, zeker niet als het gecodeerd is.
De enige echte goede oplossing is alles blokkeren behalve sites die jij hebt goedgekeurd. Dan kun je er pas echt zeker van zijn dat er niet om je beveiliging heen te komen is

[DGTL_Magician]

-ScuL- schreef op 25 maart 2003 @ 17:15:
ik vraag het me af ... Tunnels kun je ook bouwen op poort 80; die kun je niet dichtgooien ivm het normale webverkeer. Al zou je via een proxy gaan en dus geen directe of NAT-verbinding hebben dan kun je alsnog bij je tunnel komen. Het contentfilter kan uit die datastroom echt niet uitvissen wat ik over die tunnel stuur, zeker niet als het gecodeerd is.
De enige echte goede oplossing is alles blokkeren behalve sites die jij hebt goedgekeurd. Dan kun je er pas echt zeker van zijn dat er niet om je beveiliging heen te komen is

Mjah. Daarom staat er ook een fijne PIX Firewall die kan Content Filteren en dus ook kan zien of meneer een HTTP of TCP request doet. Je kan met de PIX redelijk diep filteren.

[G33rt]

The Real Falcon schreef op 25 March 2003 @ 13:20:
En als er ook maar iets van die woorden in de url staat of op de site dan is het Access Denied (aangepaste html pagina... met "NIET OP DEZE SITE MANNEKE" )

Ze moeten dus wel via proxy op internet zitten. Want dit staat ingesteld op een proxy

en als je dus een GoT topic als dit leest krijg je ook die error

dat zijn van die uiterst irritante beveiligingen die teveel blokkeren

[Falcon]

G33rt schreef op 25 maart 2003 @ 22:08:
[...]


en als je dus een GoT topic als dit leest krijg je ook die error

dat zijn van die uiterst irritante beveiligingen die teveel blokkeren

Daarom zie ik net .. dat we messenger. (let op de punt!) hebben geblokt en nog een aantal als .. .mp3 en .avi

Sex en Porno is inderdaad niet te doen.. maar goed dat zie je ook wel op het beeldscherm verschijnen

[IzoOoo]

bij ons kunnen ze niks installeren op de pc's. probleem opgelost

[FirmPete]

Zoek eens in Google op "Adaptive Packet Destructive Filter" die houd MSN wel tegen hoor. Ik weet alleen niet zeker of hotmail dan nog wel werkt...

Linkje

[Attilla]

IzoOoo schreef op 25 March 2003 @ 23:21:
bij ons kunnen ze niks installeren op de pc's. probleem opgelost

Laat mij een half uur achter die pc en ik installeer alles.

Ik bedoel een beetje slim iemand die kan zo alles installeren, dus dat is geen oplossing. Zeker niet als het in het geval van DGTL om een school gaat, want daar heb je veel wizzkids zitten.

[Remco]

Ik heb hier op de isa-server de destination-set van:
64.4.13.0 - 64.4.13.255
gewoon geblockt.
Hier zitten de msn-servers in.
Hotmail is hierdoor wel gewoon bereikbaar.
Deze info had ik b.t.w. gewoon van isaserver.org en google.

[IzoOoo]

Airwolf bij deze ben je uitgenodigd om het te komen proberen. Je zal alleen wel voor niks komen want het lukt je toch niet.

[Joe-star]

Idd. Onze systeembeheerders op school gebruik ook van alles wat. En ik ben het met ze eens want msn is een plaag op zich. een half uurtje per dag is leuk, maar zosnel je broertje(s) of je zusje(s) er een dagtaak van maken is het tijd om in te grijpen (als broer of ouder)

Ik heb dus een tijdje succesvol msn geblokt door behulp van sygate. Ik heb geen Ip's geblokt maar gewoon de application. alles liep goed totdat...msn 5.0 uitkwam. toen juichte m'n broertjes weer.

Ik wist niet waar te beginnen dus heb ik toen via gpedit de win-installer dichtgegooid. Dat hielp, tot gisteren.

Ze hebben een nieuwe manier gevonden. Msn <4.7
Met geen gpedit te blokken. Ook application block vind ik flauw worden. (half uur aanmelding resulterend in een foutmelding van verbinding)
Ik ben nu bezig met nieuwe manieren. Ik zit ook aan een IP range block te denken, al houd je dan wel het kunnen installeren van messenger. Internetrestricties is ook geen goede. dan kom ik namelijk ook nergens meer op

Die gateway blokken is misschien nog wel een goede. Is dat bestendig tegen een reinstall?

Vervolgens nog wat tips voor als je moedeloos wordt van msnjunks.

-block Windows installer
-gebruik als thuisgebruiker sygate (echt een goede muur)
-Zet de map messenger onder Program files op verbergen (''waar is ie nou?'' )

Systeembeheerders, veel succes.


EDIT: is poort 1863 blokkeren echt nuttig? want soms kunnnen ook andere notificationservers gebruikt worden.

[ Voor 6% gewijzigd door Joe-star op 29-03-2003 21:09 . Reden: kom af en toe goede indeën tegen hier. ]

[MALobert]

IzoOoo schreef op 25 March 2003 @ 23:21:
bij ons kunnen ze niks installeren op de pc's. probleem opgelost

Hier nog 1, ben ook systeembeheerder op een scholengemeenschap bestaande uit 10 scholen maar daar gebruiken we ook een squid proxyservers , en w2k servers + w2k clients waarop je met active directory & policy's in kan stellen dat je bijv. niet mag installeren, msmsgs.exe niet mag uitvoeren, enz enz...

ooh ja en mochten ze het geinstalleerd krijgen dan zit er een rebornkaart in dus na de volgende reboot is het toch weer weg..... houdt de pc's lekker schoon.....

[ Voor 5% gewijzigd door MALobert op 30-03-2003 09:24 ]

[raymonvdm]

Ik heb gewoon de 3 ms subnetten geblokkerd waarmee msn verbinding zocht.

FF met een protocol inspector gedaan (zit in winroute 5)

En daar zag ik dat er verbinding was via poort 80, 7001 en 1863.

Naar bepaalde subnetten. Deze heb ik geblokkeerd en toen werkt msn niet meer :-)

[Verwijderd]

Hebben ze bij ons ook gedaan op school msmsgs.exe blokkeren zodat je hem niet kun installeren. Dit is dus echt een beveiliging van niks. gewoon de bestandsnaam renamen naar een programma dat wel mag, bijv. winword.exe of jbuilder.exe en dan draait ie gewoon hoor!!

[No13]

DGTL_Magician schreef op 25 March 2003 @ 21:15:
[...]

Mjah. Daarom staat er ook een fijne PIX Firewall die kan Content Filteren en dus ook kan zien of meneer een HTTP of TCP request doet. Je kan met de PIX redelijk diep filteren.

Maar als ik em niet vergis zet httport een tcp request om naar eee http request, deze word dan bij de httserver (op het grote boze internet) weer omgezet naar een tcp request en van daaruit wordt de info opgevragen

Ofwel via httport kan je tcp requests versturen en ontvangen via een http proxy, denk niet dat je content filter hier wat op uithaalt

[VHware]

IzoOoo schreef op 26 maart 2003 @ 09:49:
Airwolf bij deze ben je uitgenodigd om het te komen proberen. Je zal alleen wel voor niks komen want het lukt je toch niet.

Hier inderdaad hetzelfde
niemand kan zomaar effe wat installeren Alleen toegewezen programa's
En msn messenger is daar GEEN voorbeeld van

[ Voor 8% gewijzigd door VHware op 31-03-2003 12:25 ]