Dotaz: blokovanie p2p spojeni

[vetron]

Zdravim,

Mam router (PII-400,DEBIAN sarge,prekompilovane jadro 2.4.26, iptables 1.2.9) na ktorom bezi firewall a HTB ako traffic shaper pre cca 100 zakaznikov. Chcel by som shapovat p2p spojenia,ale najprv skusam ich blokovanie ktore mi nefunguje.Pouzil som iptables_p2p, a tiez som skusal aj ipp2p. V jednom aj druhom pripade som zkompilovane moduly natiahol a cez pravidla firewallu som ich aj pouzil (pre blokovanie)

iptables -A FORWARD -p tcp -m ipp2p --ipp2p -j DROP

alebo

iptables -A FORWARD -m p2p --p2p all -j DROP

ale dalej uzivatelia zo siete stahuju pomocou roznych p2p clientov.(kazza,torrentopia,sharreaza,winMX) Neviem preco to nechce blokovat.

Dik

Odpovědi

[Petr Šobáň]

Jednoduše proto že před tím máš nějaké pravidlo co to povoluje některé p2p umí využívat třeba port 80 a pod....

[Dušan Hokův]

patchnout jadro aby pribyla experimantalni ipt_string, pro cteni onsahu paketu, pak se da zablokovat cokoliv na zaklade obsahu paketu, takova Kazza ma napr. string X-KaZaA apod. Doporucuji nejdriv ngrep a koukat co tece po eth

[abclinuxu.cz]

Dušan Hokův -> lool, ty nemas moc rad procesori vsak ? :o))

[CIJOML]

a neprijde vam to neeticke blokovat sluzbu, za kterou ti lide plati?

[abclinuxu.cz]

CIJOML otazka v threade nebola polozena ci to je alebo nie je eticke no ale dakujeme za tvoje nie moc vyziadane vyjadrenie...

vetron, cudne, skus toto

iptables -A FORWARD -m p2p -j DROP

ale nesmies zabudnut ze musis mat nainstalovany aj connmark modul s patch-o-matica! Vyskusaj ci ti to ide a pls ak sa ti bude chcet tak sem napis ze ako to funguje (ci to naozaj tak dobre blokuje p2p) a ci ti to vobec ide :o)

[miso]

inac iptables-p2p dokaze zistit kto p2p pouziva a tuto komunikaciu vie shapovat...

Nemozem ale skompilovat libipt_p2p.c...

Mam tam tuto chybu:

libipt_p2p.c:69: storage size of `p2p' isn't known
make: *** [libipt_p2p.o] Error 1

//Este pred tym to vyhodi dost velke mnozstvo varovani, ale myslim je zanedbatelne...

[abclinuxu.cz]

no a co je teda na tom 69 riadku??? hee???

[miso]

69: static struct iptables_match p2p =
70: {
71: NULL,
72: "p2p",
73: IPTABLES_VERSION,
74: IPT_ALIGN(sizeof(struct ipt_p2p_info)),
75: IPT_ALIGN(sizeof(struct ipt_p2p_info)),
76: &help,
77: &init,
78: &parse,
79: &final_check,
80: &print,
81: &save,
82: opts
83:};

[miso]

neviete co s tym, alebo nemohol by mi niekto poslat binarku? prosiiim

[Michal Marek (twofish)]

Strela od boku: Autor zapomel includovat hlavickovy soubor, kde je definovana struct iptables_match. Takze zjistit v jakem *.h souboru to je a na zacatek libipt_p2p.c napsat #include <ten-soubor.h>. Ale ty zdrojaky jsem nevidel takze mozna placam a bude to slozitejsi. Udrzuje ten iptebles-p2p vubec nekdo kdyz to ani prelozit nejde?

[Michal Marek (twofish)]

Aha, tak je to iptables.h ... Coz je docela divne ze by nebyl pouzit ...

[Drašar]

Uz jsem to vyresil Takze tuto chybu to vyhazuje, pokud chybi hlavickove soubory iptables. Snazil jsem se to zprovoznit na FC2, ale kdyz jsem nainstaloval balik "iptables-devel" (co je v distribuci), tak to porad hazelo. Pak jsem se dival a v tom baliku je houby, tak jsem si stahl balik z Debiana testingu (ver. 1.2.9), prechroustal alienem a nainstaloval do Fedory. A ejhle, moduly jsou na svete! Jinak autor na tohle upozornuje v souboru INSTALL. Takze moduly zkompilovany, ted nastane boj se zprovoznenim

[Drašar]

Takze po zavedeni modulu (jadro 2.6.5) nasledoval neopravneny pristup do pameti a cely se to sesypalo (jedna se o posledni verzi 0.3.0a). Tak jsem si stahl CVS verzi, zkompiloval, loadnul modul a bez chyby! Tak jsem zase o krucek dal.

[Drašar]

Nakonec jsem skoncil u IPP2P. Rekl bych, ze je min problemove nez iptables-p2p. Shapovani se mi podarilo rozchodit pouze na jadrech rady 2.6 (konkretne 2.6.5), ve 2.4 mi CONNMARK nechtel vzit zadny parametr (zkouseno na 2.4.20 a 2.4.22). CONNMARK jsem pouzil z patch-o-matic-ng-20040621 a posledni verzi iptables 1.2.11. Se starsimi verzemi kernelu/iptables/patch-o-matic[-ng] byly problemy. Tahle kombinace mi slape bez problemu

[Drašar]

Mam uplne stejny problem

[David Sedláček]

ipp2p funguje na vybornou .