SIP aware firewalls??

firewalls die auch auf applikationsschicht arbeiten

Zum Vergrößern anklicken....

<klugscheiss-mode>
In dem Fall handelt es sich um einen Proxy
</klugscheiss-mode>



Schau dir doch mal SER an, das kann AFAIK als SIP-Proxy genutzt werden (und ist frei (GPL)).

Captaincrunch schrieb:

<klugscheiss-mode>
In dem Fall handelt es sich um einen Proxy
</klugscheiss-mode>

Zum Vergrößern anklicken....

Das stimmt so aber nicht.... es gibt durchaus Firewalls, die den Netzverkehr mitscannen und nur weiterleiten, wenn das Protokoll als "ungefährlich" eingestuft wurde. Die müssen aber dafür nicht als Proxy arbeiten (proxy: act on someone's behalf) sondern ledeglich - wie normale Firewalls - die Pakete mitscannen und Unerwünschte fallen lassen.

(proxy: act on someone's behalf)

Zum Vergrößern anklicken....

OK, touché.

Um mich dann einfach mal genau auszudrücken: mir sind keine freien Firewalls/Paketfilter bekannt, die auf Layer 7 arbeiten (und erst recht nicht SIP-aware wären).

Spontan fallen mir da jetzt nur CheckPoint und die gute alte Pix ein, wobei die das nur recht bedingt kann. SIP ist mit letztgenannter allerdings gar kein Problem.
Sind aber halt beides eher ziemlich teure Lösungen (wobei es die kleine Pix schon für günstig bei Ebay gibt ).

Ja gibt es, wenn du Firewall in einem Router meinst - siehe meine Signatur. Aber "freie" Softwarefirewalls i. S. kostenlos ist mir nicht bekannt.

linux und iptables? Bei mir läuft's zumindest

Es gibt (oder gab) für linux ein modul um am paket-inhalt das protokoll zu erkennen. Lief hier mal, um P2P zu killen, aber weder google noch mein Gedächtnis geben dazu im Moment einen Namen oder Link her. SIP hat das damals auf jeden Fall nicht erkannt.
Vermutlich ist es http://rnvs.informatik.uni-leipzig.de/ipp2p/

Für Netfilter wird's wohl so schnell keinen (echten) Layer-7 SIP-Support geben:
http://www.netfilter.org/documentation/FAQ/netfilter-faq-1.html#ss1.8

Was hast du denn gegen die schon eingangs erwähnte Proxy-Lösung? Schau mal (z.B.) hier: http://www.ip-phone-forum.de/forum/viewtopic.php?p=60243

... erm... ein ALG ist ein Proxy. Insofern wäre da SER oder siproxd vielleicht ein Ansatz.

... erm... ein ALG ist ein Proxy.

Zum Vergrößern anklicken....

Na sag ich doch.

SCNR

ich teste gerade die Juniper/Netscreen NS5GT, die ist ein klassisches SIP-ALG. Hat aber wohl Probleme, einige SIP-Messages korrekt zu erkennen - muss ich wohl ein Ticket bei Netscreen aufmachen, wenn ich mal Zeit habe ;-)

CaptainCrunch schrieb:

... erm... ein ALG ist ein Proxy.

Zum Vergrößern anklicken....

Na sag ich doch.

SCNR

Zum Vergrößern anklicken....

Das ist strenggenommen nicht richtig. Ein Proxy ist eine Anwendung, die eine Aufforderung zur Weiterleitung vom Client erhält. Du gibst im Client den Proxy als Gegenstelle an und der Client verlangt dann vom Proxy die entsprechende Weiterleitung. Es gibt keine direkte Client - Client Verbindung.
Ein ALG ist dagegen Teil einer Firewall und transparent. I.d.R. merkt der Client nichts von dessen Anwesenheit. Beispiel wäre die PIX, die - wenn man es aktiviert - u.A. die RFC1918-IPs in SIP-Messages durch die des externen Interfaces ersetzt und im zweifelsfall sogar die RTP-Ports in den Messages anpaßt. Hier gibt es sehr wohl eine direkte Client - Client Verbindung.

Viele Grüße,
Stefan