Как заблокировать SKYPE при использовании портов 80 и 443?
Как заблокировать SKYPE, когда он использует порты 80 и 443 в сети. (лучше, если я смогу сделать это с помощью ISA 2006 и без отключения интернета) Я знаю, что если пользователи не смогут установить Skype, они не смогут его использовать. Так без этого?
4 ответа
A) Используйте программное обеспечение для внесения в черный список или настройте политики в AD, чтобы заблокировать исполняемый файл Skype.
Б) Используйте брандмауэр, который может выполнять глубокую проверку пакетов и блокировать трафик.
C) Используйте свой DNS-сервер, чтобы преднамеренно отравить запросы к skype.com и связанным с ними серверам, чтобы предотвратить соединение Skype.
D) Используйте программы аудита программного обеспечения и периодически получайте отчет, в котором сообщается, у кого установлен Skype, и, в соответствии с политикой компании, напоминайте им, что это увольнение, если они неоднократно устанавливают программное обеспечение на компьютеры компании.
E) Удалить привилегии для пользователей, которые позволяют установку программного обеспечения без административного доступа.
Краткое описание того, что сработало и, вероятно, сработает сейчас. Все это потребует наличия прокси-сервера в той или иной форме, но, вероятно, будет работать с прозрачным прокси-сервером Squid. Они могут работать с ISA 2006, но я никогда не использовал его, поэтому не даю никаких обещаний.
- В более старых версиях использовалась строка User-Agent, включая "skype", поэтому блокировка на этом могла бы сработать. Более новые версии не включают User-Agent, потому что он использовался для блокировки.
- Старые версии подключались с использованием IP-адресов, а не имен. Более новые версии, по-видимому, используют имена вместо этого, потому что люди блокировали по https IP-адресам.
Подходы, которые, вероятно, будут работать сейчас, но которые могут вызвать проблемы различной степени серьезности и для других приложений:
- Найдите шаблон, используемый для доменных имен скайпа, и добавьте их блокировку (или, если возможно, добавьте задержку в 2-5 секунд только для них). Я не видел никакой документации используемых шаблонов доменных имен. Задержки относятся к полуобщественным сетям, где вы хотите препятствовать использованию, делая качество голоса / видео совершенно неприемлемым, не исключая доступ к обмену сообщениями и веб-сайту.
- Продолжайте блокировать соединения, идущие напрямую по IP-адресам - в наши дни в HTTP/1.1 нет веских причин делать это. В этом отношении может быть возможно заблокировать HTTP/1.0, но я не уверен в последствиях.
- Продолжайте блокировать соединения с помощью "Skype" в User-Agent
- Добавить блокировку соединений без указания User-Agent (это может привести к поломке некоторых приложений в зависимости от вашей среды)
- Если возможно, создайте политику блокировки Skype со штрафами за ее использование, известную вашим пользователям, и выполните это.
- Если это корпоративная среда, сделайте ее корпоративной политикой и опубликуйте несколько статей о нарушении правил использования корпоративного компьютера (без имен). Это поможет обратиться к людям, которые устанавливают программное обеспечение или аппаратные средства бутлега.
- Если это не корпоративная среда, сделайте это политикой, чтобы компьютеры, нарушившие политику (с некоторой задержкой для предупреждений), потеряли доступ к сети, а затем будьте готовы к блокировке или фильтрации на уровне MAC.
Вам либо нужно что-то, что может выполнять глубокую проверку пакетов и определять трафик Skype внутри пакета для использования в качестве критериев "блокировки", либо вам необходимо знать, к каким внешним хостам нужно просто заблокировать доступ. Я не очень знаком с архитектурой Skype, я не уверен, должен ли он проходить через центральный сервер для каких-либо целей. Если этого не произойдет, то вы не можете сделать это вторым способом.
Поскольку вы используете MS ISA Server, я бы порекомендовал установить клиент брандмауэра на каждую машину (если возможно, разверните через AD). Затем вы можете заблокировать для каждого процесса.
Конечно, это будет блокировать только клиенты Windows, хотя