Dotaz: Problematika p2p siti a jejich omezovani prostrednictvim iptables

[Maximus]

Zdravim vsechny, jiz soude podle titulku je cilem meho dotazu omezovani p2p siti. Nejprve jsem si stahl a nainstalovat modul do iptables modul IPP2P a testoval jsem take modul L7-filter . Hlavni oblasti meho testovani bylo omezeni BitCometu(Bittorent). V iptables jsem si omarkoval data, ktera jsou produkovana prave p2psiti a pri zobrazeni proslych dat touto frontou mi data souhlasila. Nyni ale nastava problem, pomoci htb ci cbq jsem prave tuto omarkovanoui frontu chtel omezovat a omezovani mi nefungovalo, tak jak jsem si predstavoval. Chtel bych se proto zeptat, zda nema nekdo podobne zkusenosti s omezovanim prave p2p trafficu ?

Odpovědi

[kafi]

Pokud mate udelano markovani paketu, ktere posila bitcomet ci jiny p2p software, pak jiz neni problem provadet shaping pomoci HTB. Na www.root.cz vysel dobry clanek o HTB. Jmenuje se myslim jemny uvod do HTB. Tam je i ukazka shapingu na zaklade markovani paketu.

[......]

Mám v jádře taktéž oba patche. Nicméně zatím využívám jen IPP2P. Celý problém je v tom, že IPP2P je dobré jen k dropování paketů jako takových. Až ve spojení s CONNMARKem lze efektivně shapovat data, která protékají přes router.

Nejsem odborník, ale myslím si, že je to způsobeno tím, že IPP2P rozpozná jen některé pakety nebo jen první paket ze spojení prostřednictvím P2P programů. Až CONNMARK ve spojení s IPP2P dokáže značit celé spojení a tudíž všechny pakety pocházející od těchto programů.

S CONNMARKem mi omezování začalo chodit super a ještě lepší je patchnout jádro i na CONNLIMIT a omezit i počet spojení od jednoho uživatele na určitý počet. P2P programy jsou totiž schopny vyprodukovat nehorázné množství spojení a zaměstnat router, tak, že jakákoli další komunikace je prakticky nemožná.

Pokud máš zájem tak mé řešení je na http://zlin.ath.cx/~petr/linux/. Chceš-li se z toho inspirovat, tak můžeš. Taky jsem s tím bojoval a řešení se ukázalo jako funkční a dostatečně efektivní.

Pro rypálky: netvrdím, že mé řešení je absolutní špica a že by to nešlo udělat nějak lépe, ale funguje a pro naši síť stačí. Myslím, že P2P jsem nikomu nezakázal a zároveň umožnil normálním uživatelům normální přístup na net.

[Maximus]

Moc dekuji za tvuj prispevek, omezovani jsem rozchodil a jeste bych s tebou potreboval doladit urcite veci, mohl bych te pozadat o mensi korespondenci na email, diky.

[johny]

ja mam poblem pouze s bittorentem, ipp2p omezuje vše krom bittorenta. A connlimit mi na torrenta taky moc nejde. Když treba dc++ si ani neskrtne tak torrent si dela spojení klidně dál, protože to je pjekná mrcha.

[Michal Žila]

Pouzivam ipp2p-0.8 a nemam ziadny problem s obmedzovanim Bittorent paketov. Si si isty, ze pouzivas najnovsiu verziu? Verzie 0.7 a nizsie nedokazali Bittorent rozoznat...