Squid-3.3.5 Liberar Skype

[tomaswaldow]

Olha na primeira pagina do post que tem as redes.

[epboeira]

@Tomas:

Olha na primeira pagina do post que tem as redes.

Verdade, não tinha visto.

Obrigado

[tomaswaldow]

Ok

[epboeira]

Implementei o alias (inclusive adicionei alguns ranges de ips que não tinha, que encontrei via tcpdump), criei a regra pra liberar, mas mesmo assim o Skype não loga.

Tô achando estranho porque agora não existe nada bloqueando, conforme a imagem o tráfego tá passando.


[epboeira]

[ATUALIZAÇÃO]

Pessoal, fiz a atualização do Skype e agora funcionou. Consegui logar nele pela conta Microsoft. Recebi e enviei mensagens também.

Não sei qual era o problema, mas agora está funcionando.

Fica a dica pra quem não conseguiu fazer funcionar ainda.

[tomaswaldow]

@epboeira:

Implementei o alias (inclusive adicionei alguns ranges de ips que não tinha, que encontrei via tcpdump), criei a regra pra liberar, mas mesmo assim o Skype não loga.

Por favor, compartilhe aqui os endereços que você encontrou. Obrigado.

[epboeira]

Pois não, estamos aqui pra isso.  :P

Aqui vai a regra completa:


[tomaswaldow]

Certo, mas assim não da pra copiar, se puder, por favor cole o texto com os endereços. Obrigado.

[epboeira]

Ok. Depois, com mais tempo eu faço isso.

Agora estou testando o skype no linux e não está logando.  :( >:(

Tô tentando descobrir se é mais alguma rede do skype que preciso liberar ou se é a versão dele. O problema é que o Skype do Linux não tem menu superior. Não dá pra ver a versão e nem ver se tem opções de proxy nele. O do windows dá.

[lucaspolli]

@epboeira:

Ok. Depois, com mais tempo eu faço isso.

Agora estou testando o skype no linux e não está logando.  :( >:(

Tô tentando descobrir se é mais alguma rede do skype que preciso liberar ou se é a versão dele. O problema é que o Skype do Linux não tem menu superior. Não dá pra ver a versão e nem ver se tem opções de proxy nele. O do windows dá.

no linux instala o dconf que voce consegue configurar facil o proxy,so nao esquece de habilitar na interface tambem que por padrao vem " no proxy"

[epboeira]

[ATUALIZANDO]

Estou desde quinta-feira passada, implantando um proxy não transparente com dansguardian e wpad.

O wpad não funcionou pra 90% dos micros. Mesmo setando proxy manual, a maioria dos Internet Explorers e Chromes não funcionaram.

Mas isso é assunto de um outro post que estou fazendo… vamos ao Skype.

Meu problema com skype é que não conecta usando a 'Conta Microsof'. Tem vezes que não conecta também pelo Skype, mas aí tentei atualizar a versão do programa e conectou. Mas pelo antigo msn, até agora nada.

Tenho a regra pra liberar todos aqueles hosts do skype. Agora criei uma regra que libere uma determinada porta, pois pensei que talvez se eu setasse essa porta manualmente no skype, funcionaria. Mas também não tive sucesso.

[epboeira]

Em tempo…

Já liberei também a categoria chat no dansguardian, imaginando que o squid pudesse estar bloqueando a página de login do msn/skype, mas também não resolveu.

Quando clico em 'Conta da Microsoft', fica girando o loading algumas vezes, depois fica numa tela branca.

No sarg realtime não aparece nada, mas no log do firewall aparece alguns bloqueios na porta 443. Parece que o skype está tentando logar sem usar o proxy. Mas já coloquei o proxy manual no skype também.

[derikdk]

@epboeira:

Em tempo…

Já liberei também a categoria chat no dansguardian, imaginando que o squid pudesse estar bloqueando a página de login do msn/skype, mas também não resolveu.

Quando clico em 'Conta da Microsoft', fica girando o loading algumas vezes, depois fica numa tela branca.

No sarg realtime não aparece nada, mas no log do firewall aparece alguns bloqueios na porta 443. Parece que o skype está tentando logar sem usar o proxy. Mas já coloquei o proxy manual no skype também.

Verifique se pelo navegador voce consegui ter acesso a conta!!

[derikdk]

@epboeira:

[ATUALIZAÇÃO]

Pessoal, fiz a atualização do Skype e agora funcionou. Consegui logar nele pela conta Microsoft. Recebi e enviei mensagens também.

Não sei qual era o problema, mas agora está funcionando.

Fica a dica pra quem não conseguiu fazer funcionar ainda.

epboeira compartilha a lista de ENDEREÇOS IP's vai ser de grande ajuda pra noix!! =) ;D  ::)

[tomaswaldow]

só procurar no forum por Skype;
https://forum.pfsense.org/index.php?topic=85789.msg470517#msg470517

[luispaulo]

Olá estou com um squid3+squidGuard com proxy transparente e filtro ssl e o skype  não funciona de jeito algum.

Alguém pode me dar um dica?

[jmalafaia]

Pessoal, por favor, alguém pode dar um ajuda ? Eu tenho o pfsense versão 2.3.2 + Squid + Squid Guard. Estou utilizando proxy transparente com filtro SSL ativado. Porem a unica coisa que nao consigo fazer é com que o skype funcione.

Já olhei diversos tópicos, já criei uma alias, com os endereços que estavam aqui no forum. Tem mais alguma outra lista atualizada ? Criei uma regra liberando qualquer protocolo para esses ips, mesmo assim, o skype só conecta, mas não manda mensagem.

Por favor, me ajudem. Obrigado

João Malafaia

[Douglas Araujo]

Boa noite

https://www.vivaolinux.com.br/dica/Bloqueando-Skype-em-definitivo-no-IPtables

tem sim

e nois.

[danilosv.03]

Galera, esto tendo um problema semelhante. Porém o meu loga, só que o contato não recebe mensagem se ele estiver em um grupo de conversas. Eu tenho as portas 80 e 443 liberada, eu fiz uma alease com os ranger que vocês mandaram nos tópico acima, consigo até ver o tráfego passando pela minha regra. Outro problema é que depois que loga aquela bolinha do status fica só atualizando, como se tentasse logar entende?
(vejam imagem)


[gui.ap]

A nova versão do Skype também não esta funcionando aqui, devem ter alterado os IP e URLS de acesso.

[danilosv.03]

Consegui liberar ele no squidguard, colocando os dominio dele.

[gui.ap]

Mas a ultima versão?

A antiga funcionava, mas a ultima agora esta bloqueando.

[danilosv.03]

Sim e atualizada 2.3.2_1

[opala]

Habilitei o proxy https, porém o skype não funcionava, consegui liberar os sites com destino na porta 443 conforme informaram anteriormente, mas o que consegui foi apenas fazer o chat funcionar, porém chamadas por áudio ou vídeo e troca de arquivos não funcionam.

Creio eu que as chamadas e troca de arquivos acontecem ponto a ponto, sendo assim, o acesso ao IP da pessoa que estou me comunicando naquele momento não está na lista de liberados, por isso não ocorre a comunicação, seria isso?

Se for isso, há alguma maneira de contornar esse problema?

Obrigado

[danilosv.03]

Criei uma aliase e adiciona ela no seu bypass no squid com esses IP's:
64.4.0.0/18
65.52.0.0/14
91.190.218.0/24
91.190.216.0/24
111.221.64.0/18
134.170.0.0/16
137.116.0.0/16
157.54.0.0/15
157.56.0.0/14
157.60.0.0/16
191.238.101.0/24
191.238.33.0/24
213.199.160.0/18

Depois cria uma Common ACL com esses domínios:
ui.skype.com swx.cdn.skype.com static.asm.skype.com static-asm.secure.skypeassets.com static.skypeassets.com skype.com secure.skype.com prod.tpc.skype.com prod.registrar.skype.com pipe.skype.com login.skype.com login.live.com contacts.skype.com b.config.skype.com a.config.skype.com auth.gfx.ms apps.skype.com apps.skypeassets.com api.skype.com api.mcr.skype.com api.asm.skype.com

E tente de novo.

[gui.ap]

@danilosv.03:

Sim e atualizada 2.3.2_1

a ultima versão do skype é a 7.28.0.101

Por favor, teste com esse ultima.

[victorfmaraujo]

Abaixo a Solução que resolveu para mim.

Testei em:
pfsense 2.2.6 + Squid 3 + squidguard
pfsense 2.3.1 + squid 3 + squidguard

Observações:
1 - Não configurei regra de Firewall com aliases dos endereços ips do Skype.
2 - Portas 80 e 443 fechadas em modo Reject

Configuração no SQUID

Services > Squid Proxy > General

1 - ir até o campo Before Auth em Advanced Options e colocar o conteúdo abaixo:

#REGRA SKYPE
acl numeric_IPs dstdom_regex ^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|([([0-9a-f]+)?:([0-9a-f:]+)?:([0-9a-f]+|0-9\.]+)?])):443
acl Skype_UA browser ^skype
#acl validUserAgent browser \S+
#http_access allow !validUserAgent
http_access allow CONNECT localnet numeric_IPS Skype_UA
#FIM REGRA SKYPE

Aplicar

2 - Ainda no squid ir em ACLS e colocar o conteúdo abaixo no campo WHITELIST:

#SKYPE
skype.com
skype.net
skypeassets.com
^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|([([0-9a-f]+)?:([0-9a-f:]+)?:([0-9a-f]+|0-9\.]+)?])):443
mobile.pipe.aria.microsoft.com
trouter.io
windowsupdate.com
omniroot.com
public-trust.com
symcb.com
symcd.com
microsoft.com
live.com:443
msocsp.com
microsofttranslator.com
tools.google.com
m.hotmail.com:443
globalsign.com
globalsign.net
dps.bing.com:443

Aplicar.

Configuração no SquidGuard

Services > Squid Guard Proxy

Criar uma categoria personalizada na aba Target Categorie

Adicionar o conteúdo abaixo em Domain List

skype.com microsoft.com live.com auth.gfx.ms skypeassets.com hotmail.com

Adicionar o conteúdo abaixo em Regular Expression

mobile.pipe.aria.microsoft.com s.aolcdn.com:443 windowsupdate.com ocsp.omniroot.com public-trust.com symcb.com microsoft.com microsofttranslator.com trouter.io tools.google.com m.hotmail.com globalsign.com globalsign.net dps.bing.com:443 symcd.com

Obviamente que a regra acima pode ser melhorada, colocando o que é domínio no seu devido lugar por exemplo.

feito isso, basta colocar a categoria criada acima como WHITELIST nas suas Acls do squidguard, não esquecendo da Common ACL.

Importante, sempre acompanhe via Tail -f o arquivo de log do Squid fazendo um filtro no IP da máquina que está testando, além da aba Real Time do Squid que facilita bastante o serviço.

[danilosv.03]

Resolvi de uma maneira bem mais simples: Criando uma aliases e colocando o nome dela lá em bypass. Contrapartida, essa sua é muito boa também. Irei testar. Acredito que você fazendo a regra somente no squid não terá necessidade de você no squiguard, pois o squidguard é só um complemento do squid.
Contudo, parabéns!

[victorfmaraujo]

@danilosv.03:

Resolvi de uma maneira bem mais simples: Criando uma aliases e colocando o nome dela lá em bypass. Contrapartida, essa sua é muito boa também. Irei testar. Acredito que você fazendo a regra somente no squid não terá necessidade de você no squiguard, pois o squidguard é só um complemento do squid.
Contudo, parabéns!

Tive que fazer no squidguard também pois vi hits de block no log do squidguard

[danilosv.03]

Esse logo, como tu consegue identificar-los ? Tu sabe alguma maneira de baixar as blacklist via putty?

[victorfmaraujo]

@danilosv.03:

Esse logo, como tu consegue identificar-los ? Tu sabe alguma maneira de baixar as blacklist via putty?

na aba realtime tem os dois logs separados, mas fica tudo em /var/squid/logs/access.log e /var/squidguard/logs/block.log, aí rodo aquele tail -f | grep IP

você quer baixar o arquivo ou atualizar a lista?

baixar tem o comando fetch

[danilosv.03]

Tem como tu passar esse comando?

Nesse caso eu coloco os comandos que você colocou ai e pronto, certo?

[victorfmaraujo]

@danilosv.03:

Tem como tu passar esse comando?

Nesse caso eu coloco os comandos que você colocou ai e pronto, certo?

fetch -o Link

[danilosv.03]

Essa foi a tela que apareceu.


[victorfmaraujo]

@danilosv.03:

Essa foi a tela que apareceu.

Desculpe.

Tire o -o

fetch http://www.shallalist.de/Downloads/shallalist.tar.gz

[thiago.informc]

static.skypeassets.com
23.38.149.46
apps.skype.com
64.4.0.0/18
65.52.0.0/14
91.190.218.0/24
91.190.216.0/24
111.221.64.0/18
134.170.0.0/16
137.116.0.0/16
157.54.0.0/15
157.56.0.0/14
157.60.0.0/16
191.238.101.0/24
191.238.33.0/24
213.199.160.0/18
apps.skype.com
23.38.149.46
static.skypeassets.com
104.40.0.0/13
23.37.32.0/20
91.190.218.0/23
auth.gfx.ms
40.64.0.0/10
2.22.8.0/22
191.232.0.0/13
104.105.128.0/20
72.21.81.0/24
104.208.0.0/13
64.18.25.0/24
13.107.3.0/24
23.100.0.0/15
207.46.0.0/19
23.102.0.0/16
131.253.61.0/24
104.105.144.0/20

[rec.br9]

@pfirewa:

window update liberar todos estes site para funcionar:

windows.com, windowsupdate.com, windowsupdate.microsoft.com, update.microsoft.com

libera esse para hotmail gmail yahoo :

accounts.google.com translate.google.com ftp.ufv.br ftp.ibge.gov.br geoftp.ibge.gov.br outlook.com hotmail.com mail.live.com msn.com gstatic.com blu180.mail.live.com auth.gfx.gs live.com login.live.com sc.imp.live.com login.yahoo.com mail.yahoo.com s.yimg.com 37.252.246.4 acmsnet.org

liberara todas estas rede para acessar o skype essa é mais completa:

188.129.195.0/24;5.64.136.0/24;187.170.24.0/24;78.134.9.0/24;64.4.23.0/24;212.187.172.0/24;213.199.179.0/24;64.94.18.0/24;184.25.203.0/24;65.55.64.0/24;204.9.163.0/24;91.190.216.0/24;65.55.71.0/24;65.55.223.0/24;157.56.52.0/24;111.221.77.0/24;157.55.130.0/24;91.190.218.0/24;149.13.32.0/24;65.54.165.0/24;65.55.223.0/24;91.190.216.0/24;184.25.203.0/24;64.94.18.0/24;212.161.8.0/24;78.141.177.0/24;157.55.56.0/24;193.95.154.0/24;157.55.235.0/24;111.221.74.0/24;193.95.154.0/24;157.55.130.0/24;71.58.242.0/24;204.9.163.0/24;184.25.201.0/24;78.141.179.0/24;71.92.79.0/24;65.55.223.0/24;76.89.177.0/24;204.9.163.0/24;212.187.172.0/24;184.25.203.0/24;193.120.199.0/24;91.190.216.0/24;157.55.130.0/24;184.25.203.0/24;157.55.235.0/24;65.55.223.0/24;84.250.183.0/24;66.171.55.0/24;78.141.179.0/24;157.55.130.0/24;184.25.201.0/24;65.54.187.0/24;199.7.71.0/24;184.30.37.0/24;65.54.186.0/24;79.86.239.0/24;212.8.166.0/24;64.4.23.0/24;111.221.77.0/24;91.190.218.0/24;65.55.158.0/24;157.56.52.0/24;157.55.130.0/24;157.56.149.0/24;189.86.41.0/24;239.255.255.0/24;239.255.255.0/24;

Maravilha, deu boa. Valeu.

[brunok]

Sobre a nova versão do SKYPE (7.28), consegui liberar totalmente, adicionando estes domínios na whitelist:

windowsupdate.com microsoft.com s-microsoft.com skype.com omniroot.com globalsign.com msocsp.com msn.com public-trust.com

Verifiquei nos logs, quando acessava skype de um host e eram estes os domínios consultados,

[danilosv.03]

@thiago.informc:

static.skypeassets.com
23.38.149.46
apps.skype.com
64.4.0.0/18
65.52.0.0/14
91.190.218.0/24
91.190.216.0/24
111.221.64.0/18
134.170.0.0/16
137.116.0.0/16
157.54.0.0/15
157.56.0.0/14
157.60.0.0/16
191.238.101.0/24
191.238.33.0/24
213.199.160.0/18
apps.skype.com
23.38.149.46
static.skypeassets.com
104.40.0.0/13
23.37.32.0/20
91.190.218.0/23
auth.gfx.ms
40.64.0.0/10
2.22.8.0/22
191.232.0.0/13
104.105.128.0/20
72.21.81.0/24
104.208.0.0/13
64.18.25.0/24
13.107.3.0/24
23.100.0.0/15
207.46.0.0/19
23.102.0.0/16
131.253.61.0/24
104.105.144.0/20

Onde podemos colocar essa lista? Nas Releases?

[hunterjn]

Bom dia.. Coloquei a lista de endereços ips do Skype, listado acima, no Bypass porem continua não funcionando. Realmente não sei mais o que fazer para que o Skype envie mensagens com o filtro SSL ativo.