LINUX.ORG.RU
Форум — Admin  

Запрет потокового видео и аудио в Squid

 , ,


0

1

Приветствую, весьма заезженная тема, судя по массе найденных обсуждений на сей счет, но явно рабочих приемом во всем найденном многообразии нет, как ни странно.

Нужно максимально сузить возможность пользователям пользоваться он-лайн радио и просмотром видео в организации, ибо сотрудники обнаглели в конец. В частности с преуспевающего в этом googlevideo.com, ну и т.д.

Отсекание мультимедийных форматов файлов имеется, но в текущих реалиях совсем не эффективно. Порылся в направлении фильтрации по типу содержимого, но существенного эффекта не добился. 

acl cont-type-video rep_mime_type Content-Type video
acl cont-type-audio rep_mime_type Content-Type audio
acl inetradio_rep rep_mime_type ^application/x-mms-framed$ ^application/vnd.ms.wms-hdr.asfv$
acl inetradio_req req_mime_type ^application/x-mms-framed$ ^application/vnd.ms.wms-hdr.asfv$
acl StreamMedia rep_mime_type ^.*video.*
acl StreamMedia rep_mime_type ^.*audio.*

http_access deny inetradio_req
http_reply_access deny inetradio_rep
http_reply_access deny StreamMedia
http_reply_access deny cont-type-video
http_reply_access deny cont-type-audio
Какие приемы построения правил используете по данному вопросу? В частности по блокировке контента с googlevideo.com? Эффективным показалось использование acl video rep_mime_type application/octet-stream, но при этом было замечено срабатывание и на запросы с пользовательских машин от антивируса Касперского по обновлению баз.

Хотелось бы коллегиально попробовать составить оптимальный набор действующих правил по запрету прослушивания\просмотра аудио-видео контента на сайтах, дабы не забивать канал передачей паразитных данных.

Squid 3.1.14 FreeBSD 8.2

★
← deep inside a dns amplification ddos attack
Не ставится stunnel →

Можно поднять multicast-радио для сотрудников.

Chaser_Andrey ★★★★★
()

И зачем блокировать? Почему через шейпер и QoS не гарантировать каждому минимальную полосу передачи? В случае загруженности канала активным пользователям придется потесниться, вне зависимости от их желания.

Или вы за трафик платите?

Chaser_Andrey ★★★★★
()
Ответ на: комментарий от Chaser_Andrey

На данный момент политика подразумевает ограничение, а в случае производственной необходимости открытие доступа конкретным сотрудникам под выполнение задачи. В рабочее время порядка трех сотен рабочих мест с той или иной интенсивностью дают существенную нагрузку на шлюзовую машину и канал в целом. За трафик мы не платим. На текущий момент задача попытаться решить описанный вопрос средствами, предоставляемые Squid-ом.

mrrc ★
() автор топика

Организуй нормальный шейпинг канала.

MikeDM ★★★★★
()

Использование acl video rep_mime_type application/octet-stream эффективно? Так подними в локалке сервер обновлений Кашпировского

litovetc
()
Ответ на: комментарий от litovetc

Если по-современному и позволяла бы конфигурация оборудования с сетями, может быть шейпинг и был бы к месту. Вопрос стоит в запрете и ограничении указанными медами на том, что имеется в распоряжении. Сервер обновлений Касперского в будущем будет, но опять же в связи с разрозненностью сетей сие еще не реализовано. А application/octet-stream нужно видимо как-то скрестить с другими фильтрами в одном acl, чтобы распространялось на мультимедиа.

mrrc ★
() автор топика

Перекрой RTSP, RTMP траффик, хотя бы по самым частым портам. Запрети урлы вида *.m3u8. Урлы вида *.webm, *.mp4. Hope it helps.

Krieger_Od ★★
()

а если флешик обрезать?
а хотя счас каждая микроволновка в html5 умеет...

NeverLoved ★★★★★
()

Пулы настроить. При прохождении через проксю определенного контента с определенным размером рубить скорость. Сами смотреть перестанут.

teamfighter ★
()
Ответ на: комментарий от mrrc

В рабочее время порядка трех сотен рабочих мест с той или иной интенсивностью дают существенную нагрузку на шлюзовую машину


У вас там в качестве шлюза Pentium 100Mhz ?

и канал в целом.

Шейпинг!

vasya_pupkin ★★★★★
()
Последнее исправление: vasya_pupkin (всего исправлений: 1)
Ответ на: комментарий от Krieger_Od

Спасибо, RTSP,RTMP трафик понаблюдаю, перекрыл пока ipfw с логированием для отслеживания что и куда. Но только конечные пользователи так или иначе могут работать через прокси-сервер, прямого доступа у них никуда нет. Самыми частыми портами будем считать 1935,554 tcp/udp? Урлы вида *.m3u8, *.webm через acl urlpath_regex -i предлагается запретить или контентную фильтрацию rep_mime_type, как лучше?

mrrc ★
() автор топика

Все советы по шейпингу верны, возможно, в конечном итоге к этому все и придет, не исключаю. Но чтобы было что шейпить (пулить), вначале нужно выявить в squid-е максимально полно сам контент, который подвергнуть уже необходимой обработке. В этом и вопрос, который задавался.

mrrc ★
() автор топика
Ответ на: комментарий от fraxinum

В решении вопроса эффективным будет объединение различных правил, одного на все случаи не достаточно. Вот эту базу и хотелось бы наработать совместно. Кстати, приведенный живой эфир успешно блокируется сейчас, правда не знаю точно, каким именно из правил блокировки.

mrrc ★
() автор топика
Ответ на: комментарий от mrrc

Я на практике блокировками не занимался, поэтому на ваши вопросы ответить не смогу. Я просто перечислил основные способы передачи онлайн-видео: RTSP, RTMP, HLS, HTML5 video.

Krieger_Od ★★
()
Ответ на: комментарий от Krieger_Od

Да, ещё flv-файлы, проигрываемые через флеш-элемент, наравне с mp4. Можно забанить по урлу, как и mp4, можно дальше извращаться, я тут уже не подскажу. Ведь в принципе веб-сервер не обязан особо подробно докладывать о MIME-типе, и в ответе сервера может быть что-то абстрактное типа octet-stream.

Krieger_Od ★★
()
30 марта 2014 г.

В целом на тот момент все устроило. А вот как средствами SQUID-а запретить пользователям использование Tor Browser, особо продвинутых первоначальные ограничения не останавливают. Кто пробовал, поделитесь способами. Наткнулся на решение по ссылке, которое можно будет попробовать применить и в SQUID, наверное. http://ip.k-42.ru/IP/127.0.0.505

mrrc ★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← deep inside a dns amplification ddos attack
Admin
Не ставится stunnel →