Proxyserver "durchtunneln"?

[Illusion]

Huhu DP! :D

An meiner Schule gibts ein durchdachtes Internet-System: Einzelne PC's im Netzwerk (jeder Schüler wie auch Lehrer besitzt eigene Benutzerdaten am Proxyserver daher kann das sehr gezielt geregelt werden) oder ganze Klassenräume können wahlweise freigeschalten werden. In den Pausen ist Internet für alle PC's offen. Das ganze läuft über einen Proxy Server auf Port 3128. Nach dem Läuten bekommt man mit Webbrowsern nur noch Fehlermeldungen betreffend fehlenden Zugriffsrechten rein.

Jetzt hab ich gehört das es in einer Nebenklasse gelungen ist ICQ auch während der Stunde weiter zu benutzen wenn man sich in der Pause eingeloggt hat. Mir ist eingefallen das ICQ ja zum Einloggen und zur normalen Übertragung der Nachrichten verschiedene Ports benutzt. Glaube das der Proxy nur bestimmte Ports sperrt und da ist mir die Idee gekommen einfach die Pakete von Webseiten über einen anderen Port durchzuschleifen?

Hab mir jetzt mal die Wikipedia-Seite zu Socks 5 durchgelesen aber fürchte das krieg ich mit meinen Delphi-Sockets nicht hin, könntet ihr mir weiterhelfen? Jaaah, ich weiß, die Delphi-Sockets sind sehr umständlich aber ich hab sie bisher gut benutzen können für Chats, oder auch in Verwendung von HTTP und FTP bin ich sehr gut mit ihnen zurecht gekommen. Ich fühl mich sicherer wenn ich genau sehe was mein Code macht. ;)

Zu den Motivationsgründen meiner Anstrengungen - nun, Sinn meines Schulbesuchs ists sicher nicht Sicherheitslücken im Schulsystem zu finden xD - ich sehs in erster Linie als Herausforderung und hoffe damit auch mein netzwerktechnisches Wissen bisschen erweitern zu können.

Hoffe ihr könnt mir paar Tipps geben wie ich das anpacken könnte!

[Bernhard Geyer]

In einer der letzten c't stand ein Artikel wie diverse Systeme wie Skype löcher in Firewalls "schießen" und welche neue Herausforderungen damit auf Administratoren zukommen. Evtl. hilft dir das

[STS301]

bei mir in der Schule funktioniert Skype einwandfrei(trotz fortiguard), frag einmal Strahlex, der hat einmal einen ProxyChanger erstellt, mit dem es beim Proxy funktioniert

[Illusion]

@ Bernhard: Weißt du zufällig welche Ausgabe das war? Im c't-Archiv war der letzte Bericht betreffend Skype im Zusammenhang mit Sicherheit im 7/2007er Heft und das ist ja nicht mehr "eine der letzten"?

@ Sebastian: Na jetzt bin ich aber schon gespannt was Skype da anstellt.. hehe. Danke für den Hinweis, werde gleich morgen mal austesten.

[Daniel]

Im Hinblick auf die nächste Pisa-Studie wäre es mir lieber, wenn Ihr dem Unterricht folgen würdet. :roll: Trotzdem ist eine Diskussion möglicher Tunnel-Techniken sowie den dazu passenden Abwehr-Mechanismen aus softwaretechnischer Sicht durchaus interessant.

[generic]

Der Proxy wird jede Verbindung blocken.
Das heisst du musst den Proxy umgehen.

Wenn das Netz nicht klug eingerichtet ist, brauchst du nur das Gateway finden und die Route dahin setzen.
Wenn das Gateway der Proxy ist, schon schwieriger.
Dann macht diese alle Ports dicht und lässt nur die Proxy anfragen durch.

Vieleicht hat der Proxy einen Bug, welche bestehende Verbindungen, welche in der Pause aufgebaut wurden, nicht trennt.

Dann ist es einfach, Verbindung aufbauen und auf keinen Fall wieder abbauen.
ICQ müsste dann über diese HTTP Proxy mit Keepalive weiterlaufen.

[Mao]

Betreffender Artikel auf Heise Security

[Namenloser]

Zitat:

Zitat von Daniel

Im Hinblick auf die nächste Pisa-Studie wäre es mir lieber, wenn Ihr dem Unterricht folgen würdet. :roll: Trotzdem ist eine Diskussion möglicher Tunnel-Techniken sowie den dazu passenden Abwehr-Mechanismen aus softwaretechnischer Sicht durchaus interessant.

Ach, aus eigener Erfahrung kann ich dazu sagen, dass die Regierung alles tut, damit die nächste Studie toll wird: Die Aufgaben waren KRANK einfach. Eine bestand darin, Werte aus einer Tabelle rauszuschreiben. Trau keiner Statistik, die du nicht selbst gefälscht hast.

Btw: Ihr habt wirklich großzügige Administratoren, dass ihr in den Pausen an die Rechner dürft. Unserer ist so paranoid, dass man nicht mal nen Rechtsklick im Explorer ausführen darf. Einmal hatte ich für Informatik eine Hausaufgabe auf meinen Webspace hochgeladen: Was hab ich herausgefunden? Der Proxy erlaubt mir nicht mal, ein Zip-Archiv runterzuladen :wall:

[Illusion]

@ generic: Glaube mit der Vermutung hast du einen Volltreffer gelandet, hab mit Wireshark nachgeschaut mit welchen IP's ICQ kommuniziert, ist beim versenden von Nachrichten immer nur 64.x.x.x, mit diesem Server wird die Verbindung nie getrennt und scheinbar auch nicht nachdems losgeklingelt hat.

Wenn dieser Bug Fakt ist, dann stellt sich die Frage wie ich an Websites komme? Ein Proxy nach dem Schulproxy? Das wäre zwar immer die gleiche IP aber die Verbindung würde sich neu aufbauen. Andere Idee wäre mittels Remote-Desktop einfach zu mir nach Hause zu gehn und so an die Websites zu kommen, wäre allerdings nicht sehr elegant (abgesehen davon das ich garnicht wüsste wie ich einen Proxy bei meinen Programmen zwischenschalte)..

Würdest du das mit den Gateway nochmal genauer erklären? Wie kann ich den Gateway vom Proxy unterscheiden bzw wie komm ich drauf wer was macht?

Fettes DANKE an euch alle, wird ja richtig spannend hier! :zwinker:

[Mao]

Ich würde es evtl. so lösen:
Einen Proxy auf dem Client, den du in den Browser-Einstellungen einträgst und der wiederum "draußen" mit einem anderen Proxy verbunden ist. Du könntest dir ja dein Proxy<->Proxy-Protokoll so auslegen, dass die Verbindung nach draußen nie getrennt wird.
Bsp: Browser sendet Anfrage zum Proxy auf Google zu surfen. Der Client-Proxy würde über seine permanente Verbindung zum Partner außerhalb des Schulnetzes eine entsprechende Anfrage weiterleiten. Proxy außerhalb bastelt sich wieder seine Anfrage zu recht und reicht sie an den eigentlichen Bestimmungsort weiter.

Ist mir jetzt jedenfalls so in den Sinn gekommen

[rollstuhlfahrer]

HI

@mao: Das ganze lässt sich dann auch ausweiten, es muss ja nucht unbedingt der Proxy von Google sein. Es gibt ja im I-Net riesige Listen über unsichere Proxies. Zur Sicherung würde ich min. 2 Leitungen aufbauen, gesetze dem Fall, dass eine Leitung eine Exception schmeißt o.Ä.

Was natürlich auch ganz toll wäre, wenn es funktioniert: Indy-Tunnel, denn dabei wird die Verbindung nicht unterbrochen und dürfte sich auch durch Proxies hindurchbewegen können.

rolstuhlfahrer

PS: bei mir an der Schule ist das so gelöst, dass man immer im Internet surfen kann, auch während des Unterrichts. Der Lehrer kann aber über MasterEye (VNC ähnlich) die PCs überwachen

[Mao]

Nein, da hast du was falsch verstanden. ;)
Es war das Beispiel gegeben, dass der Browser bspw. http://www.google.de anfordert, nicht, dass Google irgendwie als Proxy herhalten soll.

[SirTwist]

Wo genau ist denn Euer Problem? Du musst Doch nur im ICQ-CLient den Proxy-Server als HTTP-Proxy eintragen, dann sollte die Verbindung einwandfrei gehen. Ich glaube nicht, dass der Squid (Port 3128 deutet darauf hin) solche Schweinereien wie SSL Analyzing macht. Wenns nicht klappt, dann trag im ICQ-CLient noch ein, dass er nicht auf Port 5190, sondern auf Port 443 oder 80 verbinden soll.

Tät mich arg wundern, wenn das nicht out of the Box funktionieren würde...

Gruß,
Sir Twist

[Strahlex]

Hi,

In unsrer Schule ham wir auch Fortiguard :( ,
der Clou: jede verschlüsselte Verbindung geht durch, (falls diese nicht deaktivert wurden, dann würden aber die Microsoft Standardseiten auch net gehen, also unwarscheinlich) z.B. das https-Protokoll, das ermöglicht z.B. über https://kproxy.com/ gesperrte Seiten aufzurufen :-D , nicht die perfekte Lösung, aber immerhin :wink:

was ICQ betrifft, haben wir die Erfahrung gemacht das die 5.1er Version ohne weitere Einstellungen funktioniert, bei der 6er muss man die Proxyeinstellungen ändern, funktioniert aber trozdem nicht immer :(

Also das durchtunneln müsste möglich sein, ist mir aber noch nie gelungen. Man könnte einen SSL-verschlüsselten Tunnel verwenden. Für das ganze braucht man meines Wissens allerdings einen Zielcomputer der das ganze dann wieder entschlüsselt und weiterleitet und...
So machts warscheinlich auch ICQ, es schickt ein verschlüsseltes Protokoll direkt an den ICQ-Server.

also falls Jemand zufälligerweise eine Servervindung und Server daheim hat, bitte melden :lol:

[Strahlex]

Achja im Anhang befindet sich mein ProxyChanger, der ist dafür gedacht wenn man mit dem Notebook unterwegs ist und einmal einen Proxyserver verwenden muss und einmal nicht,
so wie wir in der Schule, zum schnellen aktivieren/deaktivieren des Proxys von Windows, Firefox und ICQ 6

[Mao]

Alternativ-Lösung für ICQ oder allgemein IM wäre dann noch ICQ2go, oder meebo.com. ;)

[Darkness112]

Zitat:

Zitat von Strahlex

Achja im Anhang befindet sich mein ProxyChanger, der ist dafür gedacht wenn man mit dem Notebook unterwegs ist und einmal einen Proxyserver verwenden muss und einmal nicht,
so wie wir in der Schule, zum schnellen aktivieren/deaktivieren des Proxys von Windows, Firefox und ICQ 6

wie haut den das mit deinem inet explorer proxy hin?!
wennich den aktiv mache und dann den inet explorer aufmach, bleibt die site trotzdem von unsrem fortiguard in der schule gesperrt!?!?

glg

[STS301]

Willkommen in der DP :dp:

das hat ja nichts mit dem Internetexplorer oder dem Proxychanger zu tun.
dazu gibt es www.kproxy.com

wie kommst du in die Delphipraxis?? bei mir wird die DP geblockt

[Darkness112]

Guten Tag,
kann es sein dassich mich über den link zwar auf die gesperrten internetseiten begeben kann jedoch mich dort nicht einloggen kann (onlinegames, browsergames,...)?!?!

glg Mäx

[STS301]

das sollte schon funktionieren, ich weiß ja nicht was die Firewall oder andere Virenscanner eurer Schule macht. Der KProxy umgeht Fortiguard und sonst nichts.

mit dem Einloggen haben ich keine Probleme, ich komme jeden Tag von der Schule aus in die DP

[Darkness112]

Wennich mich bei meinem Onlinegame anmelden will kommt folgende meldung:

http://img181.imageshack.us/img181/6269/fdfwc3.jpg

[Cyberbob]

dann lass es. man man man erst wollen se hier, dass man ihnen hilft eine sperre zu umgehen und wenn sie dann hausaufgaben bekommen, wissen se nicht wies, weil sie nicht aufgepasst haben sondern lieber rumgezockt haben und wollen ihre hausaufgaben von uns gelöst haben!

das muss wirklich nicht sein, oder? wenn ihr eh denn ganzen tag zocken wollt, dann bleibt daheim oder fragt euren lehrer, ob da nicht was machen kann!

[Berlinermauer]

Tipp wenn euer Lehrer doch echt so dumm ist: tippe in die console falls es geht (bei uns nicht) ipconfig ein...

oder du hast einen Lehrer PC und installierst da ein Prorgramm dass alles eingehende grad weiterverschickt... und so

ICQ geht deswegen weil das auf Port 5190 läuft, wenn du den Proxy ganz rausmachst oder auf port 5190 setzt gehts vllt.

DÜRFT IHR MIT LAPPYS in die Schule????

[STS301]

bei mir ja, aber der Rooter läuft am Rechner Lehrercomputer vorbei --> es gibt aber ein Proxyprotokoll der Schule, das wird aber meines Wissens nach nie angeschaut