Dotaz: šikana p2p skript

[gragor]

Zdar pořád bojuju s čímdál drzejšíma a agresivnějšíma programama p2p. Jak je asi již známo tak nejde o přenos dat takový jak jeho reži (tisíce nesmylných malých paketů). Napadlomě jestli by šel udělat skript, který by vyčetl počet spojení na výsokých portech, pokud by bylo třeba více jak 10 většich než 1mega tak by to už další nepovolilo. v praxi by to normalně staovalo ale routry by to tak nevitěžovalo.

Odpovědi

[Petr Šobáň]

Vykašle te se na to - omezte šířku pásma pomocí HTB aby ostatní uživatelé nebyly škodní a mohly taky používat internet a bude to.

[gragor]

tady de hlavně oto že to totalně zahltí wifinu. Sem byl u kamose protoze si stězoval na velkej ping. Prisel sem tam a ping byl asi sekundu a rychlost 5kb/s. Když sem se podíval na datovej provoz tak byl asi 30kb/s tak sem myslel že je to rušením. Po změně kanaláů nic nepomohlo. Nakonec sem zjistil ze tech cca 30kb/s byl provoz torrenta 1dnoho PC . Po zakázání vysokejch portů byl ping 1-5ms a rychlost cca 300-450kb/s. Takže de o to jeden človjek i s minimalní rychlostí dokáže totalně odepsat celí apčko a to stačí aby měl puštěnou jen nakou mrchu (torrent).

[Luboš Doležel (Doli)]

To máte nějaká šmejdská AP?

[Petr Šobáň]

Já teda nevím ale aby někdo zakázal mi torent tak bych byl vzteky bez sebe i já - přes torent se poskytují i legální programy (i Linux).

A pokud někdo používá desetinu přenosové kapacity a skolabuje spojení tak bych nehledal vinu u něj ale v tom HW které skolabovalo.

[Ľubomír Host]

iptables-p2p

[gragor]

nevim jaké ap zvldádne přenést na 5ti tisících konekcích tisíce několikabitových paketů. Potřebovsal bych něco co bude pouštět jen velké pakety ale aby šel zároven i skype. Ale to je asi nemožné rozpoznat, pač sem zkoušel ipp2p a to pozna maximamlě z provozu neškodné dc++ které asi jako jediné nevadí.

[secido]

Niekolkobitove pakety???

[gragor]

tak nekolikakilobitové. prostě malé nesmylné z kterých nemá nikdo užitek.

[VícNežNic]

Každý paket má svoje opodstatnění. Mám každopádně podezření, že na mojí linku (též wi-fi) mají (vzhledem k jejich datovému objemu, který není zase tak velký) neblahý vliv malé, ošklivé a přemnožené UDP pro hry…

[Jiří Daněk]

Ale UDP je přece pro hru výhodnější. Imho to, že později odeslaný paket může přijít dříve, než ten před ním je dosti velkou výhodou v boji proti lagům.

[VícNežNic]

UDP má pro hru spoustu výhod (o TCP bych tady ani neuvažoval), ale pro mě (kdo ty hry nehraje) už to tak jednoznačné není

[Josef Kufner]

Někde tady jsem četl něco o řešení pomocí VPN, ale nejsem si jist jestli to pomůže... Pokud by to poskládalo mnoho malých paketů do méně větších, tak by mohlo.

[Jiří Daněk]

VPN používá můj MamutNet. Řekl bych, že hlavně kvůli jednoduššímu nastavení max. přenosové rychlosti (CBQ).

[Pmx]

A nevíte o nějakém skriptu, který by buzeroval providery šikanující p2p?

Napadá mě, že by šlo určit maximální počet paketů za sekundu... (pomocí ip tables)

Trocha slovíčkaření - jaké pakety byste chtěl, než několikakilobitové? Maximální velikost IP paketu v ethernetu je něco okolo 1500 B

[Flip]

Proboha přectete si neco konecně o HTB !!!

[gragor]

nejde ani tak o zatěžování htb, to se dá vyřešiut silnějším počítačšem, ale o tu wifi že nemá ráda malé pakety ale to už se tu několikrát řešilo, že i klent s 64kbit/s dokáže vyhltit s bittorentem celé AP. že je paket velký 1500b je idealní připad který nastane při normálním stahovaní z webu či ftp, ale p2p sítě mají mnohonásobně větší režii než je samotný přenos. (mnoho malích paketů)

[adv]

V principu jde přesně o tento jediný problém, moje snaha je aby lítalo 100paketů o velikosti 1486bajtů za sekundu a konání klietů je takové že místo toho jich líta 15000 o velikosti 100bajtů a tak to běžné "krabičky" prostě odnesou. Nevím opravdu mne progrma který má větší režii než vlastní datový přenos nijak nenadchl

[xxl]

Především se nauč česky: "vyřešiut", "počítačšem", "klent", "malích"

Když ti tu wifinu bittorent "vyhltí", tak nechápu, co chceš řešit linuxem, který následuje až za ní. Pořiď si pořádný hardware.

[gragor]

stačí když to budu típat za wifi apckem. klient pak nebude dostavat nazpět data a ten jeho program se nerozjede na plný obrátky. Mam to odskoušený že když to dropnu až za ap tak je vše ok (s nepatrným zpomalením těch odchozích dat ale lidi si mejla přečtou ) . Ale podle mě tohle neni jen muj problem ale musi s tim bojovat vic ISP , ale kazdej si tyhle vjeci asi nechává pro sebe.

[iji]

Jak uz zde nekolikrat padlo - vymenit za poradny HW! (prozradite, jake AP pouzivate a kolik na nem "visi" klientu?).
Chcete-li "rezat" urcity provoz, pouzijte POM a pak uz za pomoci etherealu najdete ve spojeni s iptables reseni.

[gragor]

AP je sp918gl, dříve byl ovis appro, ale vse je stejne. klijentu je cca 10. Ale zkoušel sem povilit jen 2. Jednoho s tim torrentem a druhej sem byl ja. A bylo to sami. Existuje tedy nejaky reseni jak omezit (ale ne uplně vypnout) , jinym zpusobem než je omezení rychlosti. (connlimit sem zkoušel ale k je nicemu)

[xxl]

To si děláš srandu? Jedno PC s Bittorrentem ti zahltí linku? Tak to máš teda dost blbý.

http://luxik.cdi.cz/~devik/qos/htb/
http://www.linuximq.net/
http://lartc.org/
http://www.google.com/search?q=htb+site%3Aroot.cz

[sappa]

tak ja neviem aj mam celu wifi postaveny na ovisoch a appro soft pouzivam iba na klientoch ak to bolo na AP tak to nejak nechcelo chodit iank pohoda vatcsinou mam pripojenych 2-3 uzovatelovn na p2p a linka ide v poho.

ak sa pripoji este zopar dalsich tak uz ostava problem aj net ostavaju velmi dhe odozvy povodne som pozrieval server zeby nestihal ale myslim ze tam bude iny problem a to je ako rychlo dokazu vybavovat wifi anteny spojenia lebo ak budem mat na jednej sesmerovke 4 ludi co budu zaveseny na edonkey alebo torenete a piaty pojde na na www.abclinuxu.cz tak ho bude mat dobre zabrzdeny :(

uvazoval som nadtym ze okrem toho ze vsetkych sejpujem rychlostne tak este ktomu shapovat aj jednotlive porty tj port 80 priorita vysia port 1000 a vysstie priorita najnizsia ale tam ostava co zo skype a podobne

[......]

Já mám v naší malinké síti ovislinky a nic takového nepozoruju. Nejspíš to jen máš blbě nastavené a nedomyšlené. Jede to slušně i když ostatní sosají z p2p sítí.

[John]

Mam obdobny problem na p2p spoji 2xCompex 5ghz Kdyz si jeden clovek pusti torent a to jen na 30KB/s tak vsichni ostatni co jsou na stejnem ETH maji rychlost mizernou. pritom rezerva linky je jeste kolem 1Mbit. Tak i presto nenameri vice jak 200kbit s velkym stestim. a Obvykle tak 90kbit. V cem muze byt problem.

[Petr Šobáň]

V nedostatečném HW ? Které nestíhá, nebo špatně nastaven HW.

[Thunder.m]

Měl jsem podobné, problémy, chce to daným lidem domluvit, nebo použít někde na nejbližším linuxovém routeru něco jako.

# dropujeme P2P
dev_p2p="wlan1"    
for proto_p2p in bittorrent directconnect shoutcast gnutella gnucleuslan ares kugoo mute napster openft poco tesla xunlei soribada soulseek edonkey hotline; do
$IPTABLES -I FORWARD -o $dev_p2p -m layer7 --l7proto $proto_p2p -j REJECT
$IPTABLES -I FORWARD -i $dev_p2p -m layer7 --l7proto $proto_p2p -j REJECT
done

IP adresu už si tam určitě zvládneš doplnit, nutná je samozřejmě podpora v iptables a v jádře, nevím co kde používáš za distribuce.

[Petr Šobáň]

Ano nejlepší je zrušit uplně p2p abych si nemohl přes torent stáhnout linux tak bych tě nakopal s prominutím do prdele, internet mám na to abych mohl tahat data a né aby mě někdo nakazoval jaké klienty můžu a nebo nemůžu používat.

Prostě u tak nespolehlivého spojení bych prostě nebyl.

A pokud si neumíte pořídit pořádný HW který pracuje bez chyby je vaše věc, ale s takovým přístupem abych měl internet pouze na www bych u vás nebyl.

[mrak]

he he ... tak se hned nerozciluj :)

jak uz tu bylo receno jde o to ze ten SW produkuje nechutne mnozstvi malych <100bytu paketu a to je ten problem ... kdyz by stahoval normalnima 1500bytu paketama tak je to v pohode a pri urcite rychlosti narazi na shaping a je to vklidu.

jeden z prikladu ... sw AP zcom-626 nekolik lidi hraje online hru a server je jeden z clientu na AP velke mnozstvi malych paketu chodi tam a zpet pres AP, to zpusobi ze pres AP chodi tok rekneme do 50kByte ale AP je totalne nepouzitelny pro cokoliv jinyho :(

mozna je to jenom tim ze to ten HW nestiha obslouzit mozna je to vlastnost WIFI ... pokud by nekdo umel najit reseni nebo to vysvetlit byl bych vdecnej

[Vskutečnosti Saýc]

To je potom hodne SPATNY AP. Prijde mi ze posledni dobou je ISP kazdej druhej kdo nekde vyhrabe APcka za par stovek.

[Petr Šobáň]

Přesně tak prostě připojení musí nějakou zátěž vydržet tak jako routery, huby a podobně a pokud koupíte HW šunt tak nemůžete čekat zázraky.

A jestli jeden uživatel s torentem může zablokovat celou síť tak je tam něco zhnilého na tom AP a takové by putovalo do koše.

[mrak]

No tak to sem rad ze ste mi to vy dva geniove vysvetlily

[......]

vysvětlili

Náš administrátor shledal tento komentář závadným.

Sprosté nadávky a napadání zde netolerujeme!

Zobrazit komentář

[Thompson]

Ty snad ses muj ISP, takovy mam nejradsi, NAT problem, p2p funkcni od 1 do 5, a to jeste 10% rychlosti, pripoji tak 5 lidi, kdyz mi chce nekdo neco poslat pres ICQ ma proste smulu, ale zajimavy ze ve widlich s ICQ Lite to de, bejt tu ADSL davno utikam.

Napr: 6GB torrent stahuju uz celej mesic pritom ve skole sme to stahli za 3 hodiny

[Thompson]

Jo a malem bych zapomel, takovejmhle ****** stahuju pres den a tu p2p poustim zasifrovane. Akorat ze to odnasi ostatni uzivatele.

[......]

Jediné co stačí, je značit P2P pakety (např. pomocí iptables) a těmto dát menší prioritu. Rychlost jsem nijak neomezoval, pouze tyto pakety přijdou na řadu jaksi až po těch ostatních.

No a pokud to někdo opravdu hrotí a tohle je taky málo, tak pomůže jedině osobní domluva. U nás v síti jsme se domluvili a stahujem jen od 16 do 8. I když přes den sem tam taky někdo něco stáhne, ale od toho je tu jiná fajn věcička, která to hlídá a na hříšníka upozorní . Ale tohle jde podle mého názoru jen v malých sítích, kde se tohle tolik "neztratí".

[Thunder.m]

Máte někde nějaké skripty jak to řešíte v síti?

[......]

Něco mám na stránkách, ale obávám se, že P2P tam ještě není. Je tam myslím jen shaping a firewall. V provozu mám ovšem nasazeno už i omezování P2P.

[John]

Problem je v tom ze to neni HW. Pri tom jeho stahovani mi Ty 2 Ap proti sobe udelaji jeste v pohode 10Mbit pri pingu 3ms. Jenze jaksik do netu se to nechce hejbat Mam shaper nataveny na 1Mbit od jede 30KB Torent a zbytek je nepouzitelny.

[Petr Šobáň]

No tak je něco zhnilého na tom HW aby 30KB ucpalo 1M linku je na pováženou.

Malá cache pro pakety ?

[Thunder.m]

Jak jsem psal, taky jsem měl tyto problémy, některé programy to opravdu zavinit mohou, ale klidně hledejte HW problém, určitě pomůže výměna za 100Mbitovou drátovou linku :D Mě pomohlo domluvení danému člověku, možná to dělá zařízení na jeho straně (u toho mého tam byl dlink 900AP+), ale neměl jsem čas to řešit, co má kdo u sebe není až tak moje starost...

[Boris]

Ja naozaj nechapem niektorych ludi.... To ze torrent a podobny sajrajt zrusi wifi je jasne a nieje tam ziaden hw probem. Je to dane vlastnostou wifi, jeho pripustnostou a stylom ako funguje torrent alebo akykolvek p2p... Ten kto bude hladat problem v hw strati len cas, ten kto bude nadavat providerovi za to ze sa snazi riesit problem s p2p je este vacsi kus... dacoho... Keby sa chovali klienti rozumne, provideri by nemali tolko starosti. To ze sa kazdy snazi obmedzit p2p beriem ako logicky krok a teda osobne z netu taham vselico ale na vsetko legalne mi vzdy stacil net net a net ziaden p2p... staci zapnut hlavu a hladat.... ok tak som sa vyrecnil a teraz otazka co s tym... hovorite ze je tam vela malych paketov... ak sa nedaju spojit co tak ich obmedzit? ono to pojde, len to proste pojde pomalsie.... osobne sa to snazim (zatial neuspesne) vyriesit obmedzenim poctu spojeni pre kazdeho klienta.... mate niekto nejaky navrh? myslim nejaky konkretny priklad ako by to slo rozumne spravit?

[Vandroiy]

Zdravim! Já mám ve své wifi síti tentýž problém! Nevím co s tím ale v HW jak někteří zarytě tvrdí to opravdu nebude. Problém je totiž v tom, že torenti vytvořej takový množství připojení že to neutáhne wifi část čili wifi karty. někteří borci v naši síti mívají i 1700 connectů. Je to to samý jako bych měl na jednom AP pověšenejch 1700 klientů. Ukažte mi HW kterej tohle na dva čtyřce udejchá!!!!. Uvažoval jsem o omezení počtu connectů na IP ale nějak nevim jak na to. Poraďtě please!

[John]

Jak to muze byt Hw cili Apckem. Ktere jedou pouze v rezimu Bridge proti sobe. Kdyz a pri tom jak rikas zahlcene lince. je propustnost AP Stale kolem 10ms. A Ping na 1,4Km je 3ms konstantni. Tyhle Ap mi na jinych spojich bezi naprosto spolehlive. Rekl bych ze je chyba asi na routru

[John]

10ms je preklep melo to byt 10Mbit Po ranu mi to nemysli

[Boris]

ako server u nas bezi p4 2,8ghz, 521mb ram... bezi tam len shaper, proxy a nat... na vsetko ostatne som si u majitelov vydupal dalsi server a mam tie iste problemy.... linka volna ciselne a pritom kazdy nadava ze je to katastrofa.... tak som sa nastval a p2p proste zakazal asi pred pol hodinou.... 1 zakaznik mi do telefonu vynadal ze co to ma znamenat a dalsi 3ja volali ze je super ako ten net zacal slapat... takze asi tak.... radsej toho jedneho kopnut kade lahsie a miesto neho pripojime dalsich 10 a stale bude vyazenie siete mensie... tot jedna vec, toto riesenie je ale docasne, moc rad by som obmedzit pocet spojeni ale zatial sa mi to dajako nedari nechcem obmedzit dobu po ktorej moze nadviazat spojenia ale chcem obmedzit pocet ktore mozu paralelne bezat... viete niekto ako na to?

[mrak]

no omezit podle packet-rate se da pomoci
http://www.netfilter.org/documentation/HOWTO//netfilter-extensions-HOWTO-3.html#ss3.4

a pocet tcp spojeni z jedne IP pomoci
http://www.netfilter.org/documentation/HOWTO//netfilter-extensions-HOWTO-3.html#ss3.4

tady ty moduly ale nebyvaji v iptables standartne :(
nekdy taky byva problem ze se velkym poctem spojeni zaplni conntrack table a dalsi spojeni neprojdou, to je ale potom videt v dmesg ...

[Petr Šobáň]

Ano souhlasím s tím aby jeden zakazník mohl být připojený pomocí p2p pouze na pár serverů, ale né aby se to uplně blokovalo.

Jinak co takhle nastavit malým paketům co nejmenší prioritu - nestačilo by to ?

[mrak]

velikost neni ten pravy klic ... male pakety jsou i DNS dotazy nebo ACK pakety :(

[Boris]

Petr: to mas relativne... pokial je aspon mne zname tak z 99,9% je to aspon u nas pouzivane na stahovanie filmov, mp3 a pod... cize ciste sirenie nelegalneho sw, hudby a filmov.... a v taktomto pripade mi moze byt ukradnute ci to zakaznikovi ide alebo nie.... tak ci tak pokial je to nelegalne nema to tam co robit a myslim ze skor by bolo spravne to zablokovat

[Petr Šobáň]

Jo jenže například pod torentem se šíří i linux a pod.....

A to jestli je to legální nebo ne přenechám někomu jinému například já považuji 700 Korun za hudební CD nelegální. A nebo si koupím legálně CD a nemůžu si to nahrát do přehrávače protože je tam nějaká debilní ochrana.

Řeknu to tak pokud bude přiměřená cena nebudu to krást a půjdu si ty CD koupit.

[ddnet]

mi nerikej ze je normalni mit pustenej torren 24h dene. Mam v siti klienty co tahaj v kuse a natahaj treba 100giga na wifi za mesic jako nic. at mi nerikaj ze koukaj dene na 2 filmy. taky me stve to ze sou treba 2 lidi a jeden stahne treba 100mega za mesic a dalsi treba tech 100giga a oba dva platej stejne cca 500kc. Kdybych rek ze je to nejak omezeny tak si to nevezne ani jeden. pac ten prvni tomu nerozumi a druhej vi ze bych si tech svejch 200filmu mesicne nestahnul.

[Petr Šobáň]

Samozřejmě toto beru kdo má p2p na to aby s tím kšeftoval.

Tam by to chtělo omezit počet spojení prostě aby nemohl mít p2p spojené s dalšímy 30 servery.

Teď mě napadlo co omezit pakety podobně jako třeba ping za určitou dobu určitý počet ?

/sbin/iptables -A INPUT -p tcp -m limit --limit 1/s --limit-burst 5 -j ACCEPT

Nevím iptables jsem zatím tak podrobně neskoumal.

Prostě aby malé pakety byly omezené na určitý počet za určitý čas.

[tst]

test
tak sem dal do testovani tohle:
iptables -I FORWARD -s $IP -m limit --limit 1/s --limit 100 -j ACCEPT
iptables -I FORWARD -d $IP -m limit --limit 1/s --limit 100 -j ACCEPT>
iptables -A FORWARD -s $IP -j DROP >
iptables -A FORWARD -d $IP -j DROP
hral sem si s tim limitem a zjistel sem ze davat tam burst je v celku na nic, a ze na skype je min 25 a pri 50-100 se da hrat i counterstrike.
Muzete mi to nekdo potvrdit ?

[Petr Šobáň]

Mozna by to chtelo jeste předtím testovat velikost paketů a pouze mensi nez nějakej limit prohnat přes ten filtr na omezeni.

$IPTABLES -A FORWARD --length 0:500 -j logdrop
...........

$IPTABLES -N logdrop
$IPTABLES -F logdrop
$IPTABLES -A logdrop -m limit --limit 1/s --limit 100 -j ACCEPT
$IPTABLES -A logdrop -j DROP

[Boris]

kaslite na toooo a preverte si up a down na linkach ) prave som zabil tyzden svojho zivota koli tomu ze linka mala sice dobry download (4mbit) ale up kolisal medzi cca 512-1024kbit... up bol potom tak pretazeny ze nesli otvarat ani stranky ani nic poriadne.... inak p2p som zatial neriesil, len obmedzeny pocet connectov tak som zvedavy... zatial to slape pekne tak snad sa netesim marne este dohodim limitaciu poctu malych paketov a potom casom oshapujem p2p a je klud pevne verim...

[rsi]

Tak nam porad: Ako si zistil, ze ti kolise upload? Connecty si obmedzil ako?

[Boris]

no bolo to dost amaterske testovanie ... ftp v nete z ktoreho som sosol a na ktore som skusil poslat... pri downloade cca 500k/s stabilne pri up to kolisalo od cca 50-130kb/s... po prestaveni hw a wifi sa to rozbehlo... cely problem bol v zle nastavenom ethernete na jednom z nasich hw ap....

[Boris]

no bolo to dost amaterske testovanie ... ftp v nete z ktoreho som sosol a na ktore som skusil poslat... pri downloade cca 500k/s stabilne pri up to kolisalo od cca 50-130kb/s... po prestaveni hw a wifi sa to rozbehlo... cely problem bol v zle nastavenom ethernete na jednom z nasich hw ap....

[L.Trávníček]

Dobrý den, sháním kontakt na provozovatele wi-fi připojení DDNET, mám zájem o nové připojení, prosím Vás, ozvěte se na mail Te.P@seznam.cz nebo 732 186 984 , díky.

[XXX]

Pokud se ti zda cena neprimerena tak to nekupuj A pokud si to chces poslechnout tak zaplat. Jednoduchy. Pokud ti nekdo nabidne auto za 5 mega, asi se ti to taky bude zdat moc, ale pudes a ukradnes si ho ??

[ivdo]

No kdyby to slo pres cp a to puvodni tam zustalo stat tak nevim, ale asi jo