Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 782 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

What is the effect on IM/P2P if IPS is off?

BAlfson
I have a new client. He's been using DropSend to send his weekly radio show to the station.  Sometime prior to my arrival, he claims that these uploads worked.  For a while now, he gets to 100%, but then the page locks up and the upload doesn't complete.  He's set up a connection outside his ASG that he connects to when he wants to send his show.

I just a few minutes ago put in IM/P2P exceptions for winny and anything else that might have been blocked.  I then went to the IM/P2P log, but saw no indications of the blockage that appeared on Thursday when he did an experiment at my request.

OK, it looks like the IM/P2P logfile only contains information when somethng is logged, not when it's allowed or rejected.  So, I went to look at the IPS logfile, but he's not using it.  Was that the right place for me to look?

Does having IPS enabled or not have any effect on IM/P2P?

I can see the conversation in the HTTP Content Filter, but everything passes.  I searched the packet filter log for that day using the IP of the DropSend service.  Here's a pic of the records found, ***.***.x.10 is the IP of the client, YY.YY.YY.155 is the External (Address) and ZZZ.ZZ.ZZ.39 is the public IP of the service.  Any thoughts?


Thanks - Bob


This thread was automatically locked due to age.
  • 0
    1. I'm pretty sure the IM and P2P protection use Snort (as does the IPS).

    2. You can tell if snort is running with PS or Top.

    So, I'd say that if snort isn't running after turning off the IPS, then IM and P2P may not be running.

    Barry
  • 0 in reply to BarryG
    Well there's stuff being logged, so I think it's running.  I'm not where I can SSH in.  Oh, yeah, I forgot I loaded TouchTerm on my iPhone.  Back in a bit!

    OK when I run top and press m, I don't see snort, but there's no activity at the site at present.  I'll wait until tomorrow.

    In the meantime, does anyone have any feedback on the packet filter log?

    Thanks - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    To check snort, try 
    ps aux | grep snort

    And I think it's 'M' to sort top by memory usage, not 'm'.

    Barry
  • 0 in reply to BarryG
    Yes, mis-typed M.  I tried ps -ef | grep snort.  I'll try it with aux tomorrow.

    Thanks, Barry!

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    ps -ef should've found it also.

    Barry