Newsgroup: it.comp.os.linux.sys
Titolo: Filtro p2p

Googolando ho trovato 2 progetti interessanti per filtrare il traffico p2p.
Meglio con iptables + layer7 + l7-filter
o meglio con iptables + ipp2p ?
Voi come lo filtrate?
Mi è stato chiesto proprio venerdi da un cliente e temporaneamente ho 
risolto (alla buona) con il blocco di tutte le porte eccetto 80, 443 
(devono SOLO navigare questi clienti).

 Voi come lo filtrate?
Io uso le patch per il layer7, lo sbattimento è che ti tocca ricompilare
iptables e il kernel però mi trovo piuttosto bene. Ci faccio QoS per la
mia rete e la cosa sembra funzionare. Se vuoi solo eliminare tutto il
traffico p2p credo che funzionerà ancora meglio.
Devi anche considerare che ipp2p classifica solo il traffico p2p, quando
hai messo le patch per il filtraggio a livello7 puoi discriminare tra
più protocolli. 
Ciao,
Gufo
-- 
  ,___,                    Never trust an operating system.
  (9v9)
  (_^((\		    .: May the owl be with you :.
-^-"-"-\\-^-

 più protocolli. 
Si è vero. Però usi direttamente la patch o hai anche installato una 
sorta di l7-filter?
Volevo evitare di installere quel programmino. Vado a documentarmi sul 
layer7 per vedere se riesco a filtrare.

 più protocolli. 
Ho verificato proprio ora e le patch layer7 implicano l'uso di l7-filter 
(sono sempre loro). Era quello che volevo evitare.
Non credo sia una soluzione molto performante filtrare con le 
espressioni regolari su un firewall usato da 50 postazioni.
Però credo che sia l'unico modo.
Una cosa: il protocollo bittorrent, 'comprende' anche i vari client 
(bitcomet, azerus, bitlord) oppure solo il client ufficiale bittorrent?

 (bitcomet, azerus, bitlord) oppure solo il client ufficiale bittorrent?
Filtri il protocollo a prescindere dal client usato.
Devi ricompilare il kernel e aggiungere il supporto per il filtering,
ricompilare iptables rispetto ai sorgenti patchati del kernel ed è
tutto. L'unico dettaglio è che devi installare le "firme" per i protocolli,
ma questo è il meno.


 espressioni regolari su un firewall usato da 50 postazioni.
Non credere.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 
Infatti in qualche altro post ho scritto che ho 'tamponato' bloccando le 
porte.
tutti i client P2P riescono a passare se opportunamente istruiti in 
quanto quasi tutti permettono il cambio di porta.
Però io ho istruito il titolare dell'azienda dicendo: "i client sono 
bloccati, se però vedi che qualcuno scarica ugualmente è perchè ha 
VOLUTAMENTE modificato le impostazioni del programma di conseguenza devi 
andarci giu con un martello e spaccargli tutte le ditine...."
Ovviamente sa che è una soluzione temporanea finche non implemento il 
filtro in base al header tcp anzichè alle porte.

 
Nel senso che non usa molte risorse?
Allora ci vado giù di brutto e blocco tutto. (Adoro bloccare la gente!!)

 Allora ci vado giù di brutto e blocco tutto. (Adoro bloccare la gente!!)
E' un bel po' che non ci metto le mani, ma va comunque usato con criterio.
Non tanto per questioni di carico (nattavo e l7-filtravo qualcosa come
un migliaio (almeno) di client senza carichi significativi) ma perchè ci
sono alcuni pattern un po' "lenti" (se leggi la documentazione capirai
cosa intendo).
Magari nel frattempo le cose sono migliorate.


 
Si, ci sono pattern lenti.
Ma cosa comporta questa lentezza? non riesco a capirlo.
Filtrare con svariati pattern lenti rischio di rallentare anche la 
navigazione stessa?
In sostanza il cliente mi chiede di poter bloccare (a proprio piacere) i 
client p2p più conosciuti tipo: edonkey (di conseguenza anche emule mi 
pare), bittorrent (e tutti i suoi 'amici'), kazaa, limeware etc etc.
Non so se usare ipp2p per i protocolli conosciuti (l'ultima versione, 
tra l'altro, permette di filtrare anche bitcomet con la cifratura 
attiva) ed utilizzare l7-filter per tutti gli altri protocolli non 
conosciti da ipp2p.
In questo modo dovrei poter limitare le risorse e di conseguenza 
limitare l'utilizzo di pattern lenti.

 Magari nel frattempo le cose sono migliorate.
Leggendo in ML ho scoperto che c'è gente che ci fa i gateway per i campus
universitari americani.
La lentezza non è un problema.
Ovviamente un P100 per 1000 client tutti che fanno p2p è poco.
Tutto ha una misura ma L7 regge.
Per il resto lo preferisco agli altri sistemi perchè le regole sono molto
dinamiche, ovvero facilmente aggiornabili.
Max

 dinamiche, ovvero facilmente aggiornabili.
Perfetto. Accoppiarlo con ipp2p per te sarebbe inutile quindi?
Basta solo l7? o è meglio far gestire i protocolli riconosciuti da ipp2p 
direttamente a lui e tutto il resto (quello che non riconosce ipp2p) a l7?