Блокирование Ultra Surf

Доброго дня всем!
Месяца два назад в руки попалась Kerio Control Appliance 9.1.1 build 1324. Установил на отдельную машину, настроил на свою локальную сеть, работает сервером в сети. На самой машине 2 сетевых интерфейса: к одному подключен ADSL модем, ко второй остальная локальная сеть (40 пользователей). Сеть без домена.
Почитал кучу документации на этом сайте и с сайта производителя на английском. Вопрос такой: сталкивался ли кто-нибудь задачей блокировать программу ultrasurf. Мои эксперементы закончились только тем, что смог её заблокировать только при следующих политиках траффика (прилагается во вложении). Но параллельно с этими политиками перестал работать Outlook 2007, получающий почту с сервера Microsoft Exchange.
Подскажите пожалуйста, как быть в этом случае? Где моя ошибка. Буду рад любому совету. Заранее благодарен.

[naliman]

Цитата

Сообщение от murano

Вопрос такой: сталкивался ли кто-нибудь задачей блокировать программу ultrasurf

хз, не слыхал о такой программе

Цитата

Сообщение от murano

Мои эксперементы закончились только тем, что смог её заблокировать только при следующих политиках траффика (прилагается во вложении)

какое правило блокирует и что в этом правиле что - оставим телепатам

Цитата

Сообщение от murano

Но параллельно с этими политиками перестал работать Outlook 2007, получающий почту с сервера Microsoft Exchange.

эксчанга в локалке или за её пределами?

Добавлено через 4 минуты
а вообще Content Filter должен помочь отцу русской демкоратии
+ служебная записка на стол руководителя с примерно таким текстом:
"пользователь такой-то такой- то использует спец программу для обхода ограничений, пр едлагаю уволить к ёбаной матери а мне дать премию"

Ultra surf программа для создания vpn туннеля,соответственно обходит установленный Kerio,который работает у меня в сети как сервер и файервол.
Согласен,забыл конкретизировать правила,блокирующие utra surf: если добавить в правила "web services" и "internet access (nat)" сервис https, то программа ultra surf запускается,открываются все с сайты в названии которых присутствует https. Правила в предыдущем посте. Если же в этих обоих (вышеперечисленных) правилах удалить сервис https,программа перестает подключаться к своими серверам и само собою перестает работать. Но парраллельно перестает работать программа outlook,конкретно получение почты с сервера microsoft exchange. Данный сервер находится вне локалки,в интернете mail.pwt.de. Эксперименты с контент фильтром не помогли в борьбе с ultra surf.

[naliman]

Цитата

Сообщение от murano

Если же в этих обоих (вышеперечисленных) правилах удалить сервис https,программа перестает подключаться к своими серверам и само собою перестает работать. Но парраллельно перестает работать программа outlook

а как давно аутлук стал работать по HTTPS ??

может быть имеется ввиду OWA (outlook web access) ???

Цитата

Сообщение от murano

Данный сервер находится вне локалки,в интернете mail.pwt.de.

а что мешает сделать для "аутлука" отдельное разрешающее правило и поставить его ПЕРЕД запрещающими????

Цитата

Сообщение от murano

Эксперименты с контент фильтром не помогли в борьбе с ultra surf.

жаль

[naliman]

Цитата

Сообщение от murano

Если же в этих обоих (вышеперечисленных) правилах удалить сервис https,программа перестает подключаться к своими серверам и само собою перестает работать. Но парраллельно перестает работать программа outlook

а как давно аутлук стал работать по HTTPS ??

может быть имеется ввиду OWA (outlook web access) ???

Цитата

Сообщение от murano

Данный сервер находится вне локалки,в интернете mail.pwt.de.

что мешает сделать для "аутлука" отдельное разрешающее правило и поставить его ПЕРЕД запрещающими????

Цитата

Сообщение от murano

Эксперименты с контент фильтром не помогли в борьбе с ultra surf.

жаль

[exchar]

Цитата

Сообщение от murano

программа перестает подключаться к своими серверам

так выясни ip-адреса серверов, куда она ломится для подключения и заблокируй их
если их много, то блокируй подсети с этими серверами.

Цитата

Сообщение от murano

сайты в названии которых присутствует https

почитай, что такое [Для просмотра данной ссылки нужно зарегистрироваться] и чем от http отличается - полезно будет по жизни
а заодно поймешь, почему нужно блокировать по ip конкретные сервера, а не по протоколу пол-интернета.

Цитата:

Сообщение от naliman

служебная записка на стол руководителя

именно что
сначала организационный метод, а потом всякие блокировки
иначе юзеры борзеют и блокированием можно впустую страдать бесконечно.

Цитата:

Сообщение от naliman

а как давно аутлук стал работать по HTTPS ??

Почему же тогда при добавлении этих сервисов в мои правила,аутлук подключается к exchange??

Цитата:

Сообщение от naliman

может быть имеется ввиду OWA (outlook web access) ???

Насчёт аутлука знаний у меня мало,могу сказать одно, то что для моего случая у нас раньше была возможность зайти на почтовый ящик через обычный браузер; строка адреса в конце содержала значение /owa. После этого наш головной офис в германии эту лафу закрыл и это все произошло за много лет до того как я установил kerio.

Цитата:

Сообщение от naliman

что мешает сделать для "аутлука" отдельное разрешающее правило и поставить его ПЕРЕД запрещающими????

Если не трудно подскажите пожалуйста как это сделать,я новичок в этом. Читал много статей по керио,но конкретного ничего не нашел. Нужно ли отдельно указывать порты,или достаточно указать сам адрес (mail.pwt.de)? Заранее спасибо.



Content filter хорошо помогает в обрезании других лишних для работы ресурсов (соц.сети и онлайн фильмы). Скажу заранее я не тупой и монстроподобный админ,следящий как коршун за пользователями,все банально упирается в деньги,в месяц обьем траффика у нас ограничен.

Насчёт ip адресов для ultra surf,конкретного ничего не смог найти. Единственно что смог выявить,что все они американские.

Возможно, что я замахнулся на что-то серьёзное в техническом плане. Но возможно решение моего вопроса сможет помочь и другим.

Цитата

Сообщение от exchar

так выясни ip-адреса серверов, куда она ломится для подключения и заблокируй их
если их много, то блокируй подсети с этими серверами.

Пробовал средствами Керио поймать ip-адреса,но они как-будто по новой генерируются всякий раз при запуске ultra surf (замечено на вкладке активные подключения в керио). Возможно ли как-нибудь сторонней программой отследить откуда программа берет эти адреса? Возможно таким образом и получится свести на нет работу программы ultra surf.Заранее спасибо.

Цитата

Сообщение от exchar

почитай, что такое [Для просмотра данной ссылки нужно зарегистрироваться] и чем от http отличается - полезно будет по жизни
а заодно поймешь, почему нужно блокировать по ip конкретные сервера, а не по протоколу пол-интернета.

Уже занялся этим,спасибо за совет.

Цитата

Сообщение от exchar

именно что
сначала организационный метод, а потом всякие блокировки
иначе юзеры борзеют и блокированием можно впустую страдать бесконечно.

Здесь я полностью согласен.

[Mr.Torture]

[Для просмотра данной ссылки нужно зарегистрироваться]

Цитата

требует установки локального файла u.exe

Очень рекомендую использование домена актив директори - его средствами такие вещи легко удаляются. Также множество антивирусных средств позвляют блокировать определённые файлы - хотяб таким образом попробовать можно.

[exchar]

Цитата

Сообщение от murano

они как-будто по новой генерируются всякий раз

их вполне может быть достаточно [Для просмотра данной ссылки нужно зарегистрироваться]
65.49.0.0/17
204.107.140.0/24
а сейчас наверное еще больше.

Цитата

Сообщение от murano

замечено на вкладке активные подключения в керио

ну так набери статистику, посмотри из каких диапазонов ip-адресов и заблокируй эти диапазоны.

Цитата

Сообщение от murano

Возможно ли как-нибудь сторонней программой отследить откуда программа берет эти адреса?

1) wireshark
2) netstat -abn
3) на керио выделить трафик клиента в отдельное правило и поставить на нем логирование
4) tcpview

(1) и (3) не дают привязку к самой программе
(2) и (4) дает, но не удобно использовать

я использую либо wireshark (когда можно отличить трафик)
либо скрипт в xstarter + netstat с опциями (когда без привязки совсем никак)

[naliman]

Цитата

Сообщение от murano

Почему же тогда при добавлении этих сервисов в мои правила,аутлук подключается к exchange??

СКРИНШОТ АУТЛУКА ПОКАЖИТЕ
я так и не понял что имеется ввиду

Цитата

Сообщение от murano

Читал много статей по керио,но конкретного ничего не нашел.

[Для просмотра данной ссылки нужно зарегистрироваться]
тут почитайте, с картинками, с описанием какое правило для чего
должно помочь

Цитата:

Сообщение от Mr.Torture

Очень рекомендую использование домена актив директори - его средствами такие вещи легко удаляются.

!!!
достаточно запретить запуск u.exe политиками
будет работать пока пользователь не догадается его переименовать

Цитата:

Сообщение от naliman

СКРИНШОТ АУТЛУКА ПОКАЖИТЕ
я так и не понял что имеется ввиду

Скриншоты прилагаю, надеюсь помогут. Подключение к Microsoft Exchange.

[Для просмотра данной ссылки нужно зарегистрироваться]

Цитата

Сообщение от exchar

их вполне может быть достаточно много
65.49.0.0/17
204.107.140.0/24
а сейчас наверное еще больше.

Это точно, занимался сканированием адресов, каждый раз что-то новое.

Цитата

Сообщение от exchar

ну так набери статистику, посмотри из каких диапазонов ip-адресов и заблокируй эти диапазоны.

Буду работать в этом направлении.

Цитата

Сообщение от exchar

1) wireshark
2) netstat -abn
3) на керио выделить трафик клиента в отдельное правило и поставить на нем логирование
4) tcpview

(1) и (3) не дают привязку к самой программе
(2) и (4) дает, но не удобно использовать

я использую либо wireshark (когда можно отличить трафик)
либо скрипт в xstarter + netstat с опциями (когда без привязки совсем никак)

Я новичок в работе с этими программами, так что освоение их займет время. Спасибо за конкретные советы. По получению результатов отпишусь в этой теме.

[exchar]

Цитата:

Сообщение от naliman

достаточно запретить запуск u.exe политиками
будет работать пока пользователь не догадается его переименовать

можно еще сделать по хэшу - в дополнение к запрету по имени.
и пока файл не изменится, переименовывать бесполезно =)

[naliman]

Цитата

Сообщение от exchar

можно еще сделать по хэшу - в дополнение к запрету по имени.
и пока файл не изменится, переименовывать бесполезно =)

не знал, круто
AD это вообще круто

[HOG]

Цитата

Сообщение от exchar

можно еще сделать по хэшу

а именно так и нужно. И тогда вообще будет пох как оно называется.

Добавлено через 1 минуту

Цитата

Сообщение от murano

mail.pwt.de

и, кстати, что мешает создать правило разрешающее ANY с этим сайтом и поставить его выше всех?? И тогда все сработает.