Блокируем Tor на корпоративном firewall

[odessky]

А почему на tor ходят по http вместо https? Недоработочка

[fzfx]

а зачем на tor ходить по https, если на него можно ходить по http?

[odessky]

А чтоб траф шифровать

[aborche]

В зависимости от сервера лист отдаётся по разным портам, в том числе через https. Зависит от конфигурации сервера.

[fzfx]

крайне зачётно.

[kibizoidus]

Цопирайт под статьей повеселил ^_^
Вопрос — зачем блокировать tor?

[aborche]

вероятно у вас нет и никогда не было какой-либо конфиденциальной информации.

[Kaluchi]

Интернет и конфиденциальная информация — в рамках общей ЛВС вещи несовместимые

[fossdev]

Хочу поправить несколько неточностей:

> Есть несколько корневых серверов на которых регистрируются клиенты.
Клиенты нигде не регистрируются.

> Эти же клиенты скачивают с техже самых серверов список таких же клиентов как и они
Ошибка. В сети Tor клиент не пропускает через себя чужой трафик, этим занимаются только те, кто специально установит у себя Tor сервер.

Хочу также добавить, что список публичных адресов Tor серверов можно взять в готовом виде по ссылке trunk.torstatus.kgprog.com/ip_list_all.php/Tor_ip_list_ALL.csv
Также для блокировки можно воспользоваться DNSBL сервисом www.sectoor.de/tor.php

Ну и на закуску — полностью заблокировать Tor с помощью блеклиста нельзя, потому что он имеет механизм для обхода подобных блокировок через приватные bridge узлы. Этих узлов достаточно много, а выдают их по одному на одно gmail мыло. Если ваши пользователи допрут до этого, то реальным способом блокировки будет только блокировка всего интернета по умолчанию и список того, что разрешено посещать. Читаем https://www.torproject.org/bridges

[aborche]

для обычных юзеров которым посоветовали анонимайзер или tor browser для посещения одноглазиков вполне сгодится, продвинутые юзеры которые будут заморачиваться с настройкой бриджа вычисляются довольно быстро подсчётом трафика. ибо исходящих соединений от них не будет, а трафик будет жить на одном порту. trafd в руки и нет проблем.

[fossdev]

Может лучше запретить пользователям установку софта, и пусть юзают что админ поставил?

[aborche]

Тор ставится обычной распаковкой архива в любую директорию доступную пользователю вместе с Mozilla Firefox.

[fossdev]

Разрешите запуск программ только из нужных директорий через групповые политики.

[zarincheg]

А что плохого в том, что пользователи используют tor, по сайтам лазят в рабочее время или что? Если так, и при этом продуктивность страдает сильно, то тут либо увольнять либо мотивировать надо. А то в таком случае надо ещё и мобильные телефоны глушить, а то вдруг через gprs по одноклассникам полезут =))

[aborche]

я думаю этот вопрос уже тыщу раз обсасывали и поднимать его заново смысла нет.

[Exabiche]

Мне тоже интересно, что плохого в tor. Расскажите хотя бы в двух словах.

[otaqsun]

Сказали же выше: как минимум компрометация конфиденциальности информации.

[mikes]

пожалуй нужно просто запретить соединения на direct ip…

[aborche]

тор без проблем обходит прокси через 443 порты своих пиров. вводить белый список сайтов?

[mikes]

причём тут это
если пиры находятся за прокси то к ним не достучатся ни на какой порт, а внутри сети это не даст никакого результата

[aborche]

тор без проблем обходит прокси через 443 порты своих пиров. вводить белый список сайтов?

[kibizoidus]

<сарказм>
Пожалуй, нужно просто запретить соединения…
</сарказм>

[ksiva]

1. NGFW может заблокировать TOR, поскольку видит это приложение и блокирует.
2. Есть готовые списки выходных узлов TOR, вот например тут http://panwdbl.appspot.com/lists/ettor.txt
И эти списки постоянно обновляются.

Например, у Palo Alto Networks NGFW есть объект, который называется Dynamic Block List: межсетевой экран каждые полчаса перемещает в этот объект все IP адреса из внешнего файла и использует затем их для блокировки. На основе этого тоже можно блокировать TOR, вот здесь нашел более подробное описание http://www.whodoesitforyou.com/?p=180