怎么用iptables封掉所有p2p的连接

zsgd

udp     src=192.168.1.110       dst=220.161.63.232      sport=1222      dport=1055      bytes=1904
udp     src=192.168.1.11        dst=58.49.225.29        sport=1997      dport=1823      bytes=44586
udp     src=192.168.1.11        dst=58.49.225.29        sport=1848      dport=1729      bytes=47036
udp     src=192.168.1.110       dst=218.26.157.218      sport=1222      dport=1703      bytes=11144
udp     src=192.168.1.11        dst=60.212.140.164      sport=2110      dport=9000      bytes=16629558
udp     src=192.168.1.11        dst=58.49.225.29        sport=1688      dport=1649      bytes=55200
udp     src=192.168.1.11        dst=58.49.225.29        sport=1697      dport=1658      bytes=54712
udp     src=192.168.1.11        dst=58.49.225.29        sport=1928      dport=1797      bytes=44104
udp     src=192.168.1.11        dst=58.49.225.29        sport=2007      dport=1830      bytes=21438
udp     src=192.168.1.11        dst=61.134.1.4  sport=1036      dport=53        bytes=1335
udp     src=192.168.1.11        dst=58.49.225.29        sport=1935      dport=1806      bytes=5662
udp     src=192.168.1.110       dst=222.241.209.139     sport=1222      dport=1025      bytes=2744
udp     src=192.168.1.110       dst=222.184.233.34      sport=1222      dport=1162      bytes=1400
udp     src=192.168.1.110       dst=222.171.37.121      sport=1222      dport=1762      bytes=135666
udp     src=192.168.1.11        dst=58.49.225.29        sport=1885      dport=1766      bytes=45965
udp     src=192.168.1.110       dst=218.30.90.12        sport=1222      dport=39311     bytes=1783120
udp     src=192.168.1.11        dst=58.49.225.29        sport=1633      dport=1630      bytes=56571
udp     src=192.168.1.110       dst=61.186.162.5        sport=1222      dport=1949      bytes=168
udp     src=192.168.1.11        dst=219.133.49.189      sport=4000      dport=8000      bytes=51265
udp     src=192.168.1.110       dst=61.132.63.94        sport=1222      dport=1727      bytes=72682


如上，有很多源和目的无规律的端口，其中一个是dport=9000，可以判断是poco应用程序的连接，是基于p2p的，现在的问题是，（1）如何禁用所有p2p的连接，现在用ipp2p禁用了电驴和bt（2）对于那些没有规律的连接想禁用该怎么处理，因为这样的连接的用户会经常有，会占用大量网络带宽。谢谢！！

[ 本帖最后由 zsgd 于 2006-4-25 10:49 编辑 ]

chenyx

单独从技术上入手可能性不大，你不可能只让人访问ＷＥＢ吧，从行政上入手可能能效果好上一点．
好象Ｉｐｔａｂｌｅｓ里有一个限制连接数的补丁，试一下．
还有，利用ＴＣ可能能解决你的问题．
我也是菜鸟！！

zsgd

原帖由 chenyx 于 2006-4-25 10:55 发表
单独从技术上入手可能性不大，你不可能只让人访问ＷＥＢ吧，从行政上入手可能能效果好上一点．
好象Ｉｐｔａｂｌｅｓ里有一个限制连接数的补丁，试一下．
还有，利用ＴＣ可能能解决你的问题．
我也是菜鸟！！

1、用行政的手段肯定是不行的，这里是一个相当于网吧的团体
2、你说的限制连接数就是这个connlimit了，我想也是不行的，因为发现有些主机发起的连接可能数量并不多，但每个连接都在疯狂的传数据，有一个freetv的网络电视就是这样的，所以这个数量不好判断，弄不好影响正常上网
3、偶也在考虑用tc，对这个还不清楚具体的功能及用法，现在在想，能不能实现这样一个功能，把某台机器的1024以上端口的连接限制在一个速率，1024以下的不做限制，希望对tc熟悉的朋友指点，谢谢！！

[ 本帖最后由 zsgd 于 2006-4-25 11:11 编辑 ]

rickyfang

只开放特殊的,限制所有的,呵呵,应该可行的,偶就是这样做的!

platinum

楼主的列表是如何得到的？

zsgd

原帖由 platinum 于 2006-4-25 13:00 发表
楼主的列表是如何得到的？

cu上有一个脚本，platinum好像知道的，可以统计nat时tcp和udp的连接，如下：
#!/bin/bash
case "$1" in
-t)
cat -n /proc/net/ip_conntrack |grep tcp |awk '{print $2"\t"$5"\t"$6"\t"$7"\t"$8"\t"$9"\t"$11}'|more
echo
sun= cat /proc/net/ip_conntrack|grep -c src
echo
echo
echo
;;

-u)
cat -n /proc/net/ip_conntrack |grep udp |awk '{print $2"\t"$5"\t"$6"\t"$7"\t"$8"\t"$10}'|more
echo
sun= cat /proc/net/ip_conntrack|grep -c src
echo
echo
echo
;;

-a)
cat -n /proc/net/ip_conntrack |grep tcp |awk '{print $2"\t"$5"\t"$6"\t"$7"\t"$8"\t"$9"\t"$11}'|more
cat -n /proc/net/ip_conntrack |grep udp |awk '{print $2"\t"$5"\t"$6"\t"$7"\t"$8"\t"$10}'|more
echo
sun= cat /proc/net/ip_conntrack|grep -c src
echo
echo
echo
;;

*)
echo "Usage {-t Tcp | -u Udp }"
echo
echo "Write By LouLancn@163.com"
echo
exit 1
esac
exit 0

platinum

哦，我想起来了 ^_^

zsgd

platinum，对上面的问题有什么看法，主要限制有人看网络电影，好像很多都是p2p的，也有tcp的，还有udp的，udp的好处理些，可以把53放开，其他DROP，要不把1024以上的都DROP，但还有一些人玩网游，不清楚都用什么端口

platinum

封杀 9000 端口

zsgd

原帖由 platinum 于 2006-4-25 13:29 发表
封杀 9000 端口

9000端口好处理，但还有其他随机端口，像p2p传输时的端口，但又不知道使用的什么p2p程序