LINUX.ORG.RU
решено Форум — Admin  

запрет php-proxy на хостинге


0

1

Добрый день. Столкнулся с проблемой - на хостинге некоторые юзеры любят ставить php-proxy и лазить через них в интернет, генерируя при этом ненужный лишний трафик. К сожалению, решить проблему кардинально, отключив curl/opensocket и прочие приблуды php нельзя, т.к. некоторые нормальные приложения тоже используют их. На ум пока приходит зацепка, что в случае проксей соединение инициализирует апач, но дальше мыслей, как запретить прокси - нету.



Последнее исправление: hwnd (всего исправлений: 1)

Посчитайте траф и включите в счет. Делов то. А так - КАК и ЗАЧЕМ нормальные приложения пользуют курл и сокет? Если локально и междусобойчик - то тупо обрезать исходящие на 80й порт. Можно еще локальный ресолвер подкрутить вплоть до полной невменяемости.

Nefer ★
()
Ответ на: комментарий от hwnd

Тем более закрыть 80-й порт тоже не выход - прокси на сокетах юзают произвольные порты

hwnd
() автор топика

сервер сам может ходить на 80 порт? нет!

=>запретить локалхосту инициировать исходящие соединения на 80 порт.

zup-rk27 ★★
()
Ответ на: комментарий от zup-rk27

ipfw add deny tcp from me to any dst-port 80

или какой у вас там фаерволл...

zup-rk27 ★★
()
Ответ на: комментарий от zup-rk27

[quote]прокси на сокетах юзают произвольные порты[/quote] Фаерволлом закрыть _все_ порты - не решение.

hwnd
() автор топика
Ответ на: комментарий от hwnd

Особо посчитаешь. Да банально через логи. Добавить имя хоста в лог, а размер и так пишется. Или скрипты поправить, что бы при заведении хоста ему назначался персональный лог (если уже не сделано)

Nefer ★
()
Ответ на: комментарий от hwnd

прокси на сокетах юзают произвольные порты

локальные сокеты/порты лезут куда?

на 80й порт других хостов, разве нет?

Фаерволлом закрыть _все_ порты - не решение.

все и не нужно. надо только запретить исходящие соединения на 80 порт.

по моему это на 99% решит проблему, либо условие написано неправильно.

zup-rk27 ★★
()

закрыть исходящие коннекты на порт 80, открывать по требованию. Это нормальная практика.

Bers666 ★★★★★
()

Можно использовать allow_url_fopen = off для таких пользователей. Не?

Viper ★
()

если apache работает с itk то заведи на каждого юзера, в исходящей цепочке привязку к GID/UID и считай прямо из iptables
костыль конечно, но работать будет, также можеш запретить для определенных юзеров исходящий траф.

kam ★★
()
Ответ на: комментарий от hwnd

Вам нужно запретить устанавливать новые соединения на удаленный 80 (443) порты. Как-то так:

iptables -I OUTPUT -p tcp -m state --state NEW --dport 80 -j DROP

anonymous
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin