Begrense bandwith-slukende oppgaver i et nettverk

[Barry White]

Hei. På LANet jeg skal være med å arrangere den 8.-10. juli har vi 10mbit og ca 60-70 deltagere. 10mbit er rett å slett for lite om folk skal sitte å laste ned, spesielt om det skal brukes torrent.

 

Vi bruker clarkconnect installert på pc, og clarkconnect har torrentbegrensende muligheter i seg, men jeg synes ikke den fungerte noe særlig.

 

Har dere andre tips, til software osv. på hvordan vi kan begrense torrentnedlastingen?

 

Tar også gjerne i mot tips på hvor kraftig gateway vi må ha. Per nå har vi 1,1 Ghz og 256MB RAM. Nok?

 

Edit: En tipsa meg om å blokkere 49152 til 65535, hva tror dere om det?

Endret 19. mai 2007 av foilltank

[jocke]

Det finnes uttallige måter. Det kan sperres ved å stenge porter, men dette er ikke en fungerende løsning, da de fleste p2p-programmer kan kjøre gjennom alle porter så lenge dem er åpne. For å blocke det mest mulig, må man kjøre sperrer på pakkenivå, noe som krever endel mer av hardwaren i routeren.

 

På et tidligere LAN jeg var med å arrangere, kjørte vi FreeBSD på en gammal PIII, hvor vi lagde en enkel access-list i ipfw.

 

/etc/ipfw.conf:

# kazaa - fasttrack
add deny tcp from any to any 1214
add deny udp from any to any 1214

# edonkey - emule
add deny tcp from any to any 4661-4672
add deny udp from any to any 4661-4672
add deny tcp from any to any 5555
add deny tcp from any to any 4242
add deny tcp from any to any 3306
add deny tcp from any to any 2323
add deny tcp from any to any 6667
add deny tcp from any to any 7778

# winmx - napster
add deny tcp from any to any 6257
add deny udp from any to any 6257
add deny tcp from any to any 6699
add deny udp from any to any 6699

# bittorrent
add deny tcp from any to any 6881-6889
add deny udp from any to any 6881-6889

# gnutella
add deny tcp from any to any 6346
add deny udp from any to any 6346

Bare ved å sperre disse portene, merket vi en nedgang på internettrafikk på over 10%.

 

Et annet alternativ, dog meget tungvindt, er å sperre ALL trafikk inn/ut, og deretter åpne porter dere trenger, samt kjøre transparent proxy, siden mange p2p-programmer prøver å bruke port 80.

 

Ellers kan jeg anbefale følgende dersom du ønsker å sperre på pakkenivå;

http://www.snort.org/ og http://www.snortsam.net/

http://l7-filter.sourceforge.net/

http://www.lowth.com/rope/

http://www.lowth.com/p2pwall/ftwall/

 

.. alt etter hvilket OS du kommer til å bruke.

Endret 19. mai 2007 av jocke

[Barry White]

Per nå bruker vi www.clarkconnect.com - som er basert på linux

 

Huff, det er så mye jeg ikke vet. Er det sånn at hvert program sender og mottar pakker med en spesiell signatur, og at pakker som kommer og går med denne signaturen kan blokkeres?

Endret 19. mai 2007 av foilltank

[Kurume]

Siden du bruker CC, er det veldig enkelt å sette øverste prioritet på kjente spill-porter, mens resten av trafikken får lav prioritet. Om jeg ikke husker feil så må du gå inn i /etc/firewall manuellt for å skru på QOS.

[Barry White]

Er en PC-Basert firewall egnet til å takle større nettverk, bare det er god nok maskinvare? (200-300 klienter)