使用iptables的功能扩展全面封杀P2P流量(不要重新编译内核及Netfilter模块)

skylove

原帖由 独孤九贱 于 2006-7-29 21:12 发表


刚刚读完conntrack的代码，要限制UDP连接数，应该还是可以地……

不过我觉得要封p2p流量，并发连接还是会很影响其它方面的应用，还是要高层协议识别，不断更新协议识别库，然后拦截或set-mark，然后限制带 ...

我谈谈我的情形吧:

其实,很多时候,我限制bt,emule ,是他占用带宽,以及发送包的速度太惊人了.bt/emule上有很多好资源,比如一些国内站点基本上下不到的计算机资源,或者一些收费的资源,还有很多电影,漫画,动画...我自己有的软件/漫画书都是emule下的...所以,我觉得这类p2p软件的促进作用还是非常大的.

但是...但是...这类软件都比较自私地把带宽抢地比较厉害(虽然现在很多p2p软件都增加了设置限制,但是很多用户还是不自觉地设置小一些).

关于带宽的问题,tc勉强可以解决... 用到tcp走的一些协议,也可以限制速率,目前就是对udp有点火大...发包速度太快了...感觉和当年的sql蠕虫病毒有一拼了.

终归结果: 希望可以允许用户使用,但是尽量地限制着一下... 所以需要一个控制udp 收包速度的,多了就丢.用set-mark方式固然是可以...但是有点不合理--比如我机器上什么都不开,我就想用emule下点东西,结果速度和别人开着ie,开着qq,开着电影站一样的...呵呵... 所以就想限制每个用户的udp包发送情况--我不管用户在每秒给的100个udp包(假设为限制为100)用来做什么,他全部emule也好,pplive也好,bt也好,甚至他中了病毒全去发dns请求包也好...不过问,反正每分钟只放100个出去...呵呵

一直以来很奇怪,怎么没有人写这个呢...还是说因为conntrack里对udp的记录不完全呢??

platinum

原帖由 skylove 于 2006-7-29 21:42 发表
关于带宽的问题,tc勉强可以解决... 用到tcp走的一些协议,也可以限制速率,目前就是对udp有点火大...发包速度太快了...感觉和当年的sql蠕虫病毒有一拼了.

同感，即使你不要了，对方（很多人，同时可能有上百个）也拼命给你发，占用你的下行线路带宽，和 DDoS 的带宽攻击差不多了，就算防火墙全 DROP 掉了，也不能阻止别人还在给你发，这和 TCP 不一样，火大。。。。

skylove

原帖由 platinum 于 2006-7-29 21:52 发表

同感，即使你不要了，对方（很多人，同时可能有上百个）也拼命给你发，占用你的下行线路带宽，和 DDoS 的带宽攻击差不多了，就算防火墙全 DROP 掉了，也不能阻止别人还在给你发，这和 TCP 不一样，火大。。。。

是啊，从外部进来的包,是没办法不让到达网卡的(就是阻止了对方还在拼命发)所以必须限制用户出去的包的数量...因为p2p似乎有个规矩,出地多就入地多,等价交换...限制了用户的出包率==限制了用户上传效率,等于变相地利用p2p规则限制了其他用户对它提供的下载率,这样进到gateway位置的udp包也就会少了.

p2p技术是个好东西,一概而论全禁止了的确很多东西就下不到了(很多上了500m的东西,还真只有emule上好找一些),不禁止呢又太狠了... 正在查资料翻译一篇文档,翻译完了去google一把,想来遇到此困惑的管理员不会只有一两个,看看前辈们的思路和想法去.

connet

tcp ip 协议的特性决定了p2P 永远是封不掉的.
靠特征码来封不可能一劳永逸
就像使用特征码来杀病毒一样
道高一尺,魔高一丈

platinum

原帖由 connet 于 2006-7-31 17:27 发表
tcp ip 协议的特性决定了p2P 永远是封不掉的.

这话说的有点大了吧？
不妨说说为啥？

attiseve

我在做到insmod ipt_ipp2p.o的时候，出现如下错误：
ipt_ipp2p.o: unresolved symbol ipt_unregister_match_Rsmp_10dfc95d
ipt_ipp2p.o: unresolved symbol ipt_register_match_Rsmp_5a4da1b2
这是什么意思？该怎么办？
RH9系统，全部最大化安装的。

attiseve

netfilter补丁包中没有string,time的补丁？
为什么我在rh9中打补丁的时候没有看到呢？大家有同样的问题吗？

race

原帖由 attiseve 于 2006-8-1 00:43 发表
我在做到insmod ipt_ipp2p.o的时候，出现如下错误：
ipt_ipp2p.o: unresolved symbol ipt_unregister_match_Rsmp_10dfc95d
ipt_ipp2p.o: unresolved symbol ipt_register_match_Rsmp_5a4da1b2
这是什么意思？该 ...

版本可能不对

oak

经过这几天我又反复的测试，发现可能由于ipp2p和iptables-p2p更新速度的影响，如果想保证我之前的补丁成功应用，iptables版本的选择最高可能在1.2.9和1.3.0最好，否则iptables-p2p在make时总是出现类似从不兼容的指针类型初始化的错误提示而不能成功编译，另外ipp2p确认在2.6内核和更高版本的iptables下可以工作, 但是iptabels-p2p是在版本的内核和iptables下编译绝对会出错不能成功编译的，请大家注意！

attiseve

费劲！不爽！