Edit Traffic shaping y bloqueo de puertos

Title:

Last edited: 1:11:19 pm on 15 November 2005 by salchicha.sico.local

!Traffic shaping y bloquo de puertos

! Load balancing
- *Load balancing entre dos ADSL>http://www.esdebian.org/staticpages/index.php?page=20040921021605992*
- *Overcoming Asymmetric Routing on Multi-Homed Servers>http://www.linuxjournal.com/article/7291*

! Tracear el uso de la red
- *Visualizing Network Traffic with Netflow and FlowScan>http://www.onlamp.com/pub/a/bsd/2005/09/15/Big_Scary_Daemons.html* (NetFlow y *FlowScan>http://net.doit.wisc.edu/~plonka/FlowScan/* son parte de la misma suite, parece)

! Traffic shaping

- *Traffic shaper (en castellano)>http://documentos.glo.org.mx*
- *Linux Advanced Routing and Traffic Control>http://lartc.org/*
- *Traffic Shaping tutorial>http://linux.oreillynet.com/pub/a/linux/2000/08/24/LinuxAdmin.html*
- *HTB home>http://luxik.cdi.cz/~devik/qos/htb/*
- <b>*ADSL bandwidth management howto>http://tldp.org/HOWTO/ADSL-Bandwidth-Management-HOWTO/*</b> <i>(kernel 2.4.18+HTB patch, imq device, iptables 1.2.6a)</i>
- *Linux Bandwidth Arbitrator>http://www.bandwidtharbitrator.com/*
- *Trickle>http://www.monkey.org/~marius/trickle/* Un traffic shaper para controlar los p2p. Es de userspace y consigue controlar el tráfico a base de un LD_PRELOAD y modificar los read/write.
- *Artículo describiendo el state-of-the-art en p2p shaping>http://www.emailbattles.com/archive/battles/security_aacagdgjec_i/* (11/11/2005). Aconseja:
-- *IPP2P>http://ipp2p.org/* Usa greps para localizar el tráfico
-- *P2pWall and rope>http://www.lowth.com/rope* Controla gnutella/bt y algunos cuantos protocolos más.

En principio habría que seguir el ADSL management howto. Hay parche de HTB para el kernel 2.2.18 (que es el que tienen guagua y los demás). Pero para IMP (InterMediate Queueing) no lo he visto (y es el que se usaría para controlar el ratio de download... :-/

Quizás lo más sencillo sería migrar al kernel de woody-xfs... (ahora que ya no dependo del kernel 2.2 por el cipe, y en 2.4 está bien soportado en el vtun).

NOTA: internetti esta actualizado a woody, pero ni guagua ni portalico lo están (creo que portalico no merece la pena actualizarlo, al ser un 486, pero guagua es un P4).

! Aprender iptables para poder usar kernel 2.4

- *IPTables tutorial>http://www.netfilter.org/documentation/tutorials/blueflux/iptables-tutorial.html*

! Bloqueo de puertos

La idea es limitar el uso que se hace de P2P; la mejor manera sería seguir los consejos de *este mensaje (how to block p2p)>http://msgs.securepoint.com/cgi-bin/get/netfilter-0403/97/2/1.html* y en esta *página sobre bloqueo de p2p>http://www.linuxhorizon.ro/blockp2p.html*

Resumiendo, las posibilidades son:

- Usar *p2pwall>http://www.lowth.com/p2pwall/* (*en sorceforge>http://sorceforge.net/projects/p2pwal/*) para bloquear Kazaa/WinMX.
- Usar *iptables-p2p>http://sourceforge.net/projects/iptables-p2p*, basado en analizar la capa de aplicación de los mensajes salientes (aunque eso seguramente requierirá bastante capacidad de procesamiento).
- Detectar (*p2p-grab>http://sourceforge.net/projects/p2p-grab/*) los clientes con muchas conexiones "a puertos raros" (es decir, diferente de los clásicos 80, 23,21,110...) y bajarle el ancho de banda a esas conexiones (esto funcionaría incluso con eMule/eDonkey).

_
! Bloquear las conexiones del messenger
(Obtenido de *La Cofradía>http://www.cofradia.org/modules.php?name=News&file=article&sid=10937*)
<blockquote>
Esto es solamente para los que usamos linux para compartir el internet de una red mediante iptables.

El truco esta en no bloquearlo directamente, se logra mediante un redireccionamiento de puertos.

Con una instrucción parecida a esta :

<tt>iptables -t nat -A PREROUTING -p tcp -s 192.168.0.53 --dport 1863 -j DNAT --to-destination 192.168.0.5:1863</tt>

En donde 192.168.0.53 es la ip de la computadora a la que le quieres bloquear el messenger y 192.168.0.5 es una computadora inexistente en tu red. Esta IP puede ser cualquiera que no se este usando.

Si bloqueo el puerto messenger (1863) automaticamente se brinca el puerto y lo intenta mediante el puerto 80. Gran error :S

Pero si lo redirecciono a una computadora que no existe, messenger cree que esta caido el servicio y no puede hacer un inicio de sesión. :D
</blockquote>
_

- lock this page
- enter new password
- reenter same password

Send e-mail alerts to these addresses upon next save: