Newsgroup: it.comp.sicurezza.varie
Titolo: Gestire la banda per internet in una rete lan

Buongiorno a tout le monde …….
                                    PROBLEMINO
Dati : 
Rete aziendale ( ca  70 pc) con alcuni di essi ( ca 30 pc) connessi ad
internet
Traffico effettuabile in internet mensile max 5 Gb (oltre al quale
aumento spropositato del prezzo per connessione)
Traffico effettuato in realtą 9 Gb
Problema
Dovrei fare in modo che il traffico rimanga entro la soglia massima
pero senza limitarne l'utilizzo ( dal punto di vista della
continuitą),
quindi come soluzione, probabile, meglio limitare la banda  per
singolo pc.
Domanda: 
Qlcn conosce qualche sistema che mi permetta di parzializzare la banda
di ogni singolo Pc (pero solo quella riguardante l'accesso a internet
e NON 	alla LAN)?
Preferibilmente dovrebbe essere un programma installato su ogni
computer, magari in stealth mode.
Scatenatevi e vi ringrazio anticipatamente moltissimo!!!

 Scatenatevi e vi ringrazio anticipatamente moltissimo!!!
Io uso un coso hardware (packet shaper) che dovrebbe fare al caso tuo, a 
parte che per il costo.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 e NON 	alla LAN)?
Un bel gateway o bridge con linux, utilizzando tc di iproute2 (ed una
delle discipline di queing, ad esempio cbq o htb), magari in cooperazione
con netfilter/iptables.
Volendo, utilizzando la patch l7-filter, puoi anche limitare per
protocolli applicativi.
Il problema è avere qualcuno con le capacità tecniche per mettere in
piedi e gestire un oggetto del genere.
Altrimenti, se hai budget, ti compri uno di questi affari:
http://www.allot.com/
Costano un sproposito, afair, ma sono decisamente più facili da
gestire.
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 per mettere in piedi e gestire un oggetto del genere.
<snip>
Oppure ti scarichi la ISO di m0n0wall da qui
http://m0n0.ch/wall
 e poi utilizzi il modulo di
traffic shaping direttamente dall'interfaccia
di amministrazione "web" :-)
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://mvp.support.microsoft.com
DNS "fail-safe" for Windows clients.
http://ntcanuck.com
408+ XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 
Mi sa che non hai visto uno shaper hw: che sotto sotto magari ci sia un 
bel linux o fbsd con una adeguata interfaccia è possibile, ma sul fatto 
che funzionino da dio non si discute.
Se non altro non chiederebbero sui 13-14.000 euri (plurale perchè sono 
tanti) per uno di questi gingilli


 
Quanto budget? Più curiosità che altro, perchè ho un paketeer e lo 
finirò di pagare fra qualche anno :-)


 finirò di pagare fra qualche anno :-)
Eh, sopra i 10000, di listino, afair. :)
Il packeteer che hai è basato su Linux/Freebsd?
Hai anche la possibilità di identificare e fare shaping a layer7?


 Mi sa che non hai visto uno shaper hw:
Come no, solo che whiplash accennava a ...
<quote>
Un bel gateway o bridge con linux, utilizzando tc di iproute2 (ed una
delle discipline di queing, ad esempio cbq o htb), magari in cooperazione
con netfilter/iptables.
Volendo, utilizzando la patch l7-filter, puoi anche limitare per
protocolli applicativi.
Il problema è avere qualcuno con le capacità tecniche per mettere in
piedi e gestire un oggetto del genere.
</quote>
per cui ho postato il link a m0n0 che pur offrendo
funzionalità di shaping non è complicato da mettere
in piedi; che poi tra m0n0 ed uno shaper hardware
ce ne corra... beh, non ci piove; resta il fatto che il
contesto della mia risposta era un'altro :-)


 Hai anche la possibilità di identificare e fare shaping a layer7?
La lista dei protocolli e software segnalati è tanta, vedo ora che un 
server di un cliente ha tirato fuori uno winmedia..
Comunque:
http://support.packeteer.com/documentation/packetguide/5.2.1/documents/psFeatures.pdf
io ho il sw di 2 anni fa (gli upgrade si pagano salatissimi)


 contesto della mia risposta era un'altro :-)
Oh, beh, a proposito dell'eterna disputa hardware/software, io
ho sempre qualcosa da ridire.
Intendo: un'appliance è pur sempre un computer, e dubito che la
maggior parte di questi arnesi lavorino in ASIC.
Ora, al momento la mia situazione è che gestisco lo shaping, in bridge,
di 30 Mbit/s di banda.
Uso linux, su una macchina server ben carrozzata, ma niente di incredibile:
bridge root # cat /proc/cpuinfo
model name      : Intel(R) Pentium(R) III CPU - S         1400MHz
stepping        : 4
cpu MHz         : 1398.922
cache size      : 512 KB
e 512M di ram.
Faccio shaping e QoS anche a layer7, con kernel 2.6.8 gentoo.
E tutto funziona, in maniera sorprendente, con un'affidabilità
ed una precisione che inizialmente non mi aspettavo.
Carico CPU?
Beh, rotfl, sotto un carico medio, questi sono i valori tipici:
Cpu(s): 0.1% us, 0.2% sy, 0.1% ni, 98.8% id, 0.0% wa, 0.7% hi, 0.0% si
Una cosa è vera: lo studio iniziale, il setup ed il tuning portano
via tempo, ma ti fanno anche capire un sacco di cose.


 via tempo, ma ti fanno anche capire un sacco di cose.
beh ... in effetti il mio post relativo a m0n0 era proprio una risposta
a quanto sopra; se uno non ha tempo/conoscenze per mettere in
piedi il tutto a manovella ... una soluzione la si trova comunque; che
poi sia come minimo opportuno STUDIARE il come e perchè .. beh
penso che su questo dovremmo essere d'accordo :-)
Ciao

 
"Gli angeli non hanno sesso!"
"Insomma, cià le poppe o un'cià le poppe?"
(Ai cin[oe]fili l'ardua citazione)


 computer, magari in stealth mode.
Come ti hanno suggerito potresti usare un gateway linux, č piů funzionale;
come software, ti posso dire che la stessa cosa ( implementata in una lan da 
1000 utenti)
da una certa Stable in poi, č fattibile con  Squid
Ciao 

 (Ai cin[oe]fili l'ardua citazione)
Come se fosse antani. :)


 da una certa Stable in poi, č fattibile con  Squid
credo che usare squid per questo scopo sia limitativo. 
Dai una occhiata qui:
http://www.securityfocus.com/infocus/1285
-- 
Ciao, Dmitry
--
FREENET By X-Privat - 
http://www.x-privat.org/infofreenet.php

 
http://www.securityfocus.com/infocus/1285
per non fare confusione, la bash che interessa è questa:
#!/bin/sh
TC=/sbin/tc
add_class() {
# $1=parent class $2=classid $3=hiband $4=lowband $5=handle $6=style
$TC class add dev eth0 parent $1 classid $2 cbq bandwidth 10Mbit 
	rate $3 allot 1514 weight $4 prio 5  maxburst 20 avpkt 1000 $6
$TC qdisc add dev eth0 parent $2 sfq quantum 1514b perturb 15
$TC filter add dev eth0 protocol ip prio 3 handle $5 fw classid $2
}
$TC qdisc add dev eth0 root handle 10: cbq bandwidth 10Mbit avpkt 
1000
$TC class add dev eth0 parent 10:0 classid 10:1 cbq bandwidth 10Mbit    
rate 64kbit allot 1514 weight 6.4kbit prio 8 maxburst 20 avpkt
1000 bounded
# first type of traffic ICMP, TCP-SYN, DNS will be marked '1' by the
firewall code
# we will give it a bounded bandwidth of 5% of our total incoming
bandwidth (64*0.05=3.2)
add_class 10:1 10:100 3.2kbit 0.32kbit 1 bounded
 
# second type of traffic SMTP,POP3 will be marked '2' by the
firewalling code
# we will give it a bounded bandwidth of 20% of our total incoming
bandwidth (64*0.20=12.8)
add_class 10:1 10:200 12.8kbit 1.28kbit 2 
# third type of traffic Napster will be marked '3' by the firewalling
code
# we will give it a bounded bandwidth of 5% of our total incoming
bandwidth (64*0.05=3.2)
add_class 10:1 10:300 3.2kbit 0.32kbit 3 
# last type of traffic is interactive traffic. It will be marked '4'
by the firewalling code
# we will give it a bounded bandwidth of 70% of our total incoming
bandwidth (64*0.70=44.8)
add_class 10:1 10:400 44.8kbit 4.48kbit 4 
exit 0
ps: ricomponi le righe :) e ricordati che ad ogni riavvio devi farlo 
ripartire a meno che non lo inserisci in un crown in 
/etc/rc.d/rc.local script
-- 
Ciao, Dmitry
--
GIGAMAIL By X-Privat - 
http://www.x-privat.org/gigamail.php

 
Sempre detto che ci sono dei veri intenditori in icsv


 credo che usare squid per questo scopo sia limitativo.
Mah io l'ho provato con soddisfazione, come configurazione avanzata di un 
proxy squid aziendale esistente,
almeno per quel che riguarda il traffico http ed ftp, alla fine puoi fare 
traffic shaping a livello applicativo (a seconda della url)
Nella conf dello Squid
per primo costruisci delle ACL con regular expression  e gli fai matchare i 
tipi di file che vuoi,
poi inserisci tali ACL nei flussi dei "Pools",(ogni pool è una particolare 
subnet che decidi tu)
a questo punto le URL richieste che matchano l'ACL con regular expression 
per estensione file (e quindi che terminano che sò per i video con .avi .mpg 
.wmv .rm etc etc etc)
avranno a disposizione dei "Bucket" che limiteranno l'utilizzo della 
connessione a seconda dei tuoi desideri.
dò dei numeri a caso; ad esempio puoi limitare il downoload dei video a 30 k 
per utente e 300k max complessivi con, che sò...max 5 video scaricati 
contemporaneamente per Pool,
La stessa cosa la fai per le estensioni di file audio etc. etc. etc.
Tali Pools li puoi poi inserire, in Pools Più grandi con cui limiti 
direttamente la quantità di banda totale utilizzata dallo Squid.
Se hai preventivamente a disposizione le statistiche sull'utilizzo del 
collegamento, con questi accorgimenti puoi giostrarti la banda usata dal 
proxy come ti pare.
A Me è parsa una soluzione non male nella sua semplicità!
Te la cavi con 30 righe di conf di squid e la creazione di 3-4 file di testo 
per fare ll match  sulle estensioni url
Ciao

 url) 
il problema è proprio questo, sei limitato a questi protocolli. Squid 
non è un traffic shaper, lo fa per i protocolli che gestisce, non in 
linea generale.
-- 
Ciao, Dmitry

 linea generale.
Certo, davo come implicito che si parlasse di traffico web, suggerivo quella 
ipotesi apposta, perchè in caso di traffico internet
di un piccolo-medio  ufficio almeno il 70% del traffico è sempre web,
Di base un buon amministratore "cassa altro tipo di traffico tipo p2p"
e se poi il traffico fosse stato di tipo "core business" credo che avrebbero 
cambiato il contratto con il provider
Chiaro che se il traffico è di altro tipo la mia soluzione non è 
applicabile;
Ed in quel caso  rilancio sui Fw Fortigate che  ad un prezzo ragionevolmente 
basso fanno traffic shaping senza licenza aggiuntiva
Ciao!

 aggiuntiva 
questa non la sapevo. Hai un link di un rivenditore? Il mio non li ha 
a magazzino ..
-- 
Ciao, Dmitry

 è sempre web, 
ah ecco, dimenticavo una altra soluzione (nel caso di traffico web). 
Con Apache si può agevolmente utilizzare mod_bandwitch che ha proprio 
questa funzione. Premetto però che non lo ho mai utilizzato in quanto 
non ho questa esigenza per i miei piccoli siti :)
-- 
Ciao, Dmitry

 a magazzino ..
Appresso no al lavoro sì,
intanto dai un occhiata a questo;
Il Top per il settore SOHO
Scontati ci son società che li mettono attorno ai 1000 se non erro
http://www.fortigate.com/doc/FGT200_300DS.pdf
Ciao! 

 
http://www.fortigate.com/doc/FGT200_300DS.pdf
si questi li avevo visti, ma se devo sperndere 1000 euro me lo faccio 
con Linux e al limite pago per un giorno un sistemista che mi da una 
mano :) Almeno però poi me li faccio da solo su larga scala :)
-- 
Ciao, Dmitry