Как запретить tracert ?

[Pirojok]

Можно ли запретить этот сетвис дабы юзеры не знали какого провайдера я использую. Сервак на win2003 и trafic inspector.

[LostSoul]

Ты думаешь для этого нужен traceroute? :)

 

Да они на любой сайт зайдут где показывает твоего провайдера, таких навалом.

[Kirya]

Pirojok, Если ты полностью хочешь скрыть прова последней мили, тебе надо поднимать что-нибудь типа VPN/IPSEC между твоим сервером и какой-нибудь машинкой, стоящей скажем на коллоке, и пользователи будут видить как-раз твоего коллокатора.

[Pirojok]

я хочу скрыть инфу от том что это pppoe соединение (стрим). провайдера фиг сним пусть видят.

[LostSoul]

я хочу скрыть инфу от том что это pppoe соединение (стрим). провайдера фиг сним пусть видят.

 

Они по пренадлежности IP-адреса будут видеть что этот блок выделен под пользователей стрим.

 

Чтоб этого не было, тебе надо тунелировать свой трафик куда-нибудь к другому провайдеру через стрим :) Чтоб в инете народ светился другими адресами)

 

То есть использовать стрим тока как транспорт.

 

А так ничё ты не сделаешь. ты изнутри трейсроут закроешь - так они его попросят друга снаружи пустить. ( то есть ОТ друга к тебе )

[teodor]

По теме вопросик: если кто знает, укажите кто в нете предоставляет бесплатно VPN подключение, как-раз для тунелирования трафика... плиzzzzz.

[boykov]

а нафига это скрывать?

 

просто запретить tracert -- можно, icmp 11 типа убить.

 

а так -- только туннель.

[ram_scan]

boykov, а что трассировку по udp и tcp отменили уже ? =) На icmp свет клином не сошелся...

[boykov]

хм. вообще то классически таки "udp шлем, icmp получаем, растим ttl пока не получим port unreachable" или я чего то не понимаю. Во всяком случае фряха так делает.

 

варианты с только tcp, может, есть но как-то не совсем понятно, как оно должно работать.

[KD]

если увеличивать ttl проходящим пакетам, трассировкой пользоваться уже не получится.

но LostSoul прав, ип скрыть никак не получится, а ип о многом говорит

[boykov]

KD, неа. Просто первые N хопов будут звездами. Дальше -- заработает.

[KD]

N-ый хоп в данном случае будет таким как (N+K)-ый хоп если бы ничего не менялось, где К - величина увеличения ttl

[boykov]

угу, я про то же. но трейс таки будет работать.

[GateKeeper]

Фиг с ним с трейсом. Фаерволите по TTL по нужному HOP. Надо то скрыть только лишь один HOP из всей цепочки!!! Например, 3-й для пользователя. К тому же, насколько знаю, при traceroute (любом, хоть TCP, хоть UDP) на пользователя возвращается ВНУТРЕННИЙ адрес шлюза относительно клиента, а не адрес, торчащий наружу. Проверяли? Точно pppoe светится?

[boykov]

тогда решение

 

разрешить icmp type 11 до шлюза (или админской подсети)

разрешить icmp type 0 до шлюза (или админской подсети)

запретить icmp type 11 от третьего хопа

запретить icmp type 0 от третьего хопа

 

третий хоп -- то, что прячем.

[LostSoul]

Фиг с ним с трейсом. Фаерволите по TTL по нужному HOP. Надо то скрыть только лишь один HOP из всей цепочки!!! Например, 3-й для пользователя. К тому же, насколько знаю, при traceroute (любом, хоть TCP, хоть UDP) на пользователя возвращается ВНУТРЕННИЙ адрес шлюза относительно клиента, а не адрес, торчащий наружу. Проверяли? Точно pppoe светится?

 

Им нужно скрывать ПОСЛЕДНИЙ ХОП. То есть тот IP на который клиенты натятся :))) Он на стриме pppoe---***.mtu-net.ru называется или типа того и Пирожку мучительно стыдно за это ;)

 

Но увы IP никак не поменять и всё равно будет светится :)

[LostSoul]

По теме вопросик: если кто знает, укажите кто в нете предоставляет бесплатно VPN подключение, как-раз для тунелирования трафика... плиzzzzz.

 

Гугл даёт бесплатно :) А оно тебе надо бесплатно то?

[mr.Scamp]

Гугл даёт бесплатно :)

Если ты из Mountain View :)

Edited June 25, 2006 by mr.Scamp

[GateKeeper]

Им нужно скрывать ПОСЛЕДНИЙ ХОП. То есть тот IP на который клиенты натятся :))) Он на стриме pppoe---***.mtu-net.ru называется или типа того и Пирожку мучительно стыдно за это ;)

Но увы IP никак не поменять и всё равно будет светится :)

Им нужно скрывать ВНЕШНИЙ IP на ПОСЛЕДНЕМ ХОПе для ВНУТРЕННИХ пользователей. Чего делать-то ДАЖЕ НЕ НАДО (по крайней мере в случае разных embedded и *nix). Потому что при достижении TTL Expired соответствующий ICMP будет отправлен с внутренней же сетевухи клиенту, адрес у которой, скорее всего будет что-то типа 10/8|172.16/12|192.168/16. Ну, разве что только скрыть еще и удалённый конец pppoe-линка (т.е. сервер), по которому тоже можно если что вычислить что за фигня... а так...

[LostSoul]

Им нужно скрывать ВНЕШНИЙ IP на ПОСЛЕДНЕМ ХОПе для ВНУТРЕННИХ пользователей. Чего делать-то ДАЖЕ НЕ НАДО (по крайней мере в случае разных embedded и *nix). Потому что при достижении TTL Expired соответствующий ICMP будет отправлен с внутренней же сетевухи клиенту, адрес у которой, скорее всего будет что-то типа 10/8|172.16/12|192.168/16. Ну, разве что только скрыть еще и удалённый конец pppoe-линка (т.е. сервер), по которому тоже можно если что вычислить что за фигня... а так...

Дык шила в мешке не утаишь.... заходишь на любой сайт где "твой хост" показывает, а там ppoe-mtu-net-ru, ну или там чат или IRC какое-нибудь...

[Pirojok]

Понятненько...Ну и ладно раз такие пирожки в баню эту затею! Всем Спасибо.

[GateKeeper]

Многие провайдеры не стесняются своим клиентам (особенно после определенного периода плодотворного сотрудничества) прописать эксклюзивный PTR. Может, есть смысл попросить? Мой прописал без проблем в течение нескольких часов.