Ikarus & P2P

Boa tarde, minha rede é composta por 1 servidor Mikrotik e 3 aps Mikrotik e estou ficando louco com o compartilhador ARES que usa o protocolo Warez, simplismente o Mikrotik não contola a banda dele e nem consegue dropar, tenho uma rede com mais de 250 clientes e final de semana é sofrivel por aqui.
Estou a ponto de abandonar o Mikrotik e partir para outro AP.OS e quero saber dos usuários do Ikarus se ele consegue controlar e dropar o ARES.

PS. Uso o Mikrotik como servidor da minha rede e faço controle de banda direto nos aps, sei que com um servidor +layer7 consigo domar isso mas para mim não serve pq meu controle de banda é nos APS.

Nao tem como voce montar um servidor entre seu link e o mikrotik e nele instalar linux e fazer regras de bloqueio de portas nao?

sera menos dispendioso...

Citação:

Postado originalmente por Pedro0278

Nao tem como voce montar um servidor entre seu link e o mikrotik e nele instalar linux e fazer regras de bloqueio de portas nao?

sera menos dispendioso...

Vlw amigo mas como já escrevi faço o controle de banda nos aps.

Citação:

Postado originalmente por marcelomg

Vlw amigo mas como já escrevi faço o controle de banda nos aps.

Voce nao entendeu, nao é controle de banda... é controle das portas que o programa usa pra se conectar...

Se ele nao achar a porta pra a conexao ele nao funciona... aí ele tenta a porta 80 que é a porta http, ai consequentemente quem quer navegar nao faz download de musica ou ficara lenta.

Tenho visto bastante gente aqui reclamando desse tal de ares, mas ou eu não estou percebendo aqui, ou mesmo sem eu querer a minha estrutura está "segurando" ele. Aqui uso como o marcelo, controle de banda no AP Mikrotik, e ainda entre o link e o MK tenho rodando um servidor Myauth, também com controle de banda. Assim, meus planos são de 80, 128 e 256. Nos MK todos tem down de 256 e up de 128, no Myauth cada cliente tá setado com seu plano individual. Vejo que às vezes no MK os clientes passam da banda, mas nunca vejo eles estourarem os 256.
\
Bom, depois de ter colocado tudo isto, queria saber a opinião de vcs.. será q o myauth tá "segurando" esse Ares,,,

xandemartini,

aqui entre meu gateway e o link uso o V-link (também desenvolvido pelo patrick) e tem segurado tudo que é p2p, sendo assim creio que seu myauth esteja sendo útil.

isso pode ser resolvido com o firewall rodando um em servidor, acho que rodar um servidor com firewall, DNS e proxy num provedor é uma boa a ajuda demais

O kernel criado na instalação do myauth já tem incorporado ipp2p+layer7, mas ele funciona também com o kernel padrão do linux.
Aqui foi necessário recompilar, pq o meu hard não se adaptou muito bem com o kernel que acompanha o myauth, apenas com o kernel original do slack que não vem com suporte a layer7

uso myauth aqui tambem .. e nao tenho problema com "ares" ..

Citação:

Postado originalmente por ijr

xandemartini,

aqui entre meu gateway e o link uso o V-link (também desenvolvido pelo patrick) e tem segurado tudo que é p2p, sendo assim creio que seu myauth esteja sendo útil.

Que produto é esse? Pra que serve e qto custa? Não tenho conhecimento deste...

Citação:

Postado originalmente por antoni

O kernel criado na instalação do myauth já tem incorporado ipp2p+layer7, mas ele funciona também com o kernel padrão do linux.
Aqui foi necessário recompilar, pq o meu hard não se adaptou muito bem com o kernel que acompanha o myauth, apenas com o kernel original do slack que não vem com suporte a layer7

Quando fiz a instalação do slack pra colocar o myauth, ficou com o kernel 2.6 por padrão. Depois da instalação do myauth, voltou para o 2.4.. Esse 2.4 tem suporte a layer7? No lilo, ele tem a opção de inicializar com o kernel 2.6, mas nunca tentei, vc sabe qual diferença? Será q terei problemas, se trocar o padrão do 2.4 pro 2.6?

vlink eh um qos por serviço.. ele gera graficos de cada queue ...

Citação:

Postado originalmente por alexandrecorrea

vlink eh um qos por serviço.. ele gera graficos de cada queue ...

Com ele vc atribui uma banda pra, por exemplo, http, ftp, p2p, etc?

Quanto custa?

Citação:

Postado originalmente por xandemartini

Com ele vc atribui uma banda pra, por exemplo, http, ftp, p2p, etc?

Quanto custa?

exataente, vc controla por serviço, em relação ao preço só entrando em contato com o patrick www.myauth.com.br

Citação:

Postado originalmente por xandemartini

Quando fiz a instalação do slack pra colocar o myauth, ficou com o kernel 2.6 por padrão. Depois da instalação do myauth, voltou para o 2.4.. Esse 2.4 tem suporte a layer7? No lilo, ele tem a opção de inicializar com o kernel 2.6, mas nunca tentei, vc sabe qual diferença? Será q terei problemas, se trocar o padrão do 2.4 pro 2.6?

Se é o kernel que foi criado durante a instalação, ele já tem suporte a layer7. Talvez sejá necessário apenas atualizar os protocolos que você está usando.

voce configura o protocolo/porta.. a banda e prioridade.. ele monta as queues e talz..

ai sempre no final voce define uma queue "outros" que he o resto.. entao o resto eh tratado como p2p ...

o interessante eh marcar TODOS os protocolos conhecidos.. (http, ftp, email, etc etc).. e deixar os "desconhecidos" .. ai voce tem um controle de p2p 100% :)

Bom pessoal, como não pude colocar um server agora no meio da minha rede implantei um controle de conexoes e ta dropando 12 mb por segundo isso ja ajudou um pouco.

Citação:

Postado originalmente por marcelomg

Bom pessoal, como não pude colocar um server agora no meio da minha rede implantei um controle de conexoes e ta dropando 12 mb por segundo isso ja ajudou um pouco.

Se liga meu véio, entendi teu dilema entre mudar a parada toda ou não... então pelo teu pensamento de querer ser o mais prático possivel, a coisa menos trabalhosa que vejo é vc dropar as portas mais usadas pelos ares nos teus aps ou entao parar de fazer o controle nos aps e montar um pc baixo custo para centralizar nele o controle de trafego com l7... é foda cara, na verdade nunk fik 100%... o emule por exemplo tem a opção de Ofuscamento que se livra até do filter l7 do linux... qualquer coisa falae comigo.

De qualquer forma pelo que li vc bloqueou o numero de conexoes tcp simultaneas, o que libera o trafego p2p eu sugar o teu link... isso já deve resolver

abços

o grande problema dos p2p não é o consumo... o grande problema é a enxorrada de pacotes, fazendo com que os aps trabalhem muitoo mais..

limitar o numero de conexoes simultaneas é uma boa...

Citação:

Postado originalmente por alexandrecorrea

o grande problema dos p2p não é o consumo... o grande problema é a enxorrada de pacotes, fazendo com que os aps trabalhem muitoo mais..

limitar o numero de conexoes simultaneas é uma boa...

Se liga meu véio... de repente podes me tirar uma dúvida... tenho um zinwell com aprouter 6.1 que permite enviar comandos iptables para o radio...

Será que esse firmware aceita o pacote CONLIMIT no comando... pois assim poderei limitar o numero de pacotes diretamente no radio do cliente para que não saia o sinal com fluxo grande de pacotes

EX...

ANTENA OMNI -- radio server -->>>> <<<<-- radio cliente (que quero bloquear os pacotes -- ANTENA DIRECIONAL

ABRAÇOS

Citação:

Postado originalmente por doidopombal

Se liga meu véio... de repente podes me tirar uma dúvida... tenho um zinwell com aprouter 6.1 que permite enviar comandos iptables para o radio...

Será que esse firmware aceita o pacote CONLIMIT no comando... pois assim poderei limitar o numero de pacotes diretamente no radio do cliente para que não saia o sinal com fluxo grande de pacotes

EX...

ANTENA OMNI -- radio server -->>>> <<<<-- radio cliente (que quero bloquear os pacotes -- ANTENA DIRECIONAL

ABRAÇOS

A regra é essa:

iptables -t nat -I PREROUTING -p tcp -s 192.168.2.8 -m iplimit --iplimit-above 30 -j DROP

Tem que criar uma regra para cada IP que vc quer controlar. Esta regra permite 30 conexoes para o IP 192.168.2.8.

A regra acima, vale para a versao 6.1 (nao testado em outras versoes). Tem que acrescentar a regra no script pessoal ou por ssh, criar um script, torná-lo executável e incluir no init.sh para executar automaticamente ao ligar o AP.

Citação:

Postado originalmente por antoni

A regra acima, vale para a versao 6.1 (nao testado em outras versoes). Tem que acrescentar a regra no script pessoal ou por ssh, criar um script, torná-lo executável e incluir no init.sh para executar automaticamente ao ligar o AP.

Entao nesse comando abaixo é só trocar o conlimit por iplimit né?!?!?

# limite de conexões

iptables -t mangle -F CONNLIMIT

iptables -t mangle -N CONNLIMIT

iptables -t mangle -D FORWARD -p TCP -d 0/0 --dport 1024:1862 -j CONNLIMIT

iptables -t mangle -D FORWARD -p TCP -d 0/0 --dport 1864:65535 -j CONNLIMIT

iptables -t mangle -A FORWARD -p TCP

Citação:

Postado originalmente por doidopombal

Entao nesse comando abaixo é só trocar o conlimit por iplimit né?!?!?

# limite de conexões

iptables -t mangle -F CONNLIMIT

iptables -t mangle -N CONNLIMIT

iptables -t mangle -D FORWARD -p TCP -d 0/0 --dport 1024:1862 -j CONNLIMIT

iptables -t mangle -D FORWARD -p TCP -d 0/0 --dport 1864:65535 -j CONNLIMIT

iptables -t mangle -A FORWARD -p TCP

estas regras ai .. nao fazem NADA !!

perae meu veio... nao fale besteira, em qualquer unix faz e muito... segue descricao abaixo:

1) Crio uma cadeia chamada CONNLIMIT:

iptables -N CONNLIMIT

2) Redireciono todos os acessos (portas) que gostaria de limitar para a cadeia CONNLIMIT (no caso, as portas acima de 1024, basicamente, visto que esses softwares tarado usam portas altas, porém, tomando cuidado de deixar fora do controle as portas de serviços conhecidos, como MSN e afins, jogos on-line, vnc, proxy, etc...vou dar alguns exemplos):

iptables -A FORWARD -p TCP -d 0/0 --dport 1024:1862 -j CONNLIMIT (excluindo o MSN = 1863)

iptables -A FORWARD -p TCP -d 0/0 --dport 1864:3127 -j CONNLIMIT (excluindo a porta do proxy = 3128)

iptables -A FORWARD -p TCP -d 0/0 --dport 3129:5599 -j CONNLIMIT (excluindo a porta do VNC = 5600)

iptables -A FORWARD -p TCP -d 0/0 --dport 5601:5899 -j CONNLIMIT (excluindo outra porta do VNC = 5900)

iptables -A FORWARD -p TCP -d 0/0 --dport 5901:7776 -j CONNLIMIT (excluindo o jogo on-line Lineage = 7777)

e assim por diante, eu faço "ranges" de IP que excluam as portas de serviços "saudáveis". Ah, e eu também uso o "-p TCP" ou seja, trabalhando apenas com o protocolo TCP, pois o CONNLIMIT só funciona com TCP. Existia um tempo atrás um módulo UDPLIMIT, mas ele é antigo, não sei se dá pra aplicar ele no kernel e no iptables mais recentes...

3) Agora como todo esse acesso tá passando pela cadeia CONNLIMIT, eu aplico nela a limitação:

iptables -A CONNLIMIT -p TCP -m state ! --state RELATED -m connlimit --connlimit-above 12 --connlimit-mask 32 -j DROP

Aqui é que tá o segredo do negócio...hehehe...seguinte:

obs1: "-m state ! --state RELATED" = usando isso, eu não incluo no DROP os pacotes que forem de retorno, ou seja, se você acessa um site (na porta 80), quando ele mandar uma resposta pra você, ele vai responder nas portas altas (acima de 1024), então, como essa conexão é uma conexão de retorno, excluindo o RELATED não aplica o connlimit, evitando problemas na navegação (principalmente de clientes com rede cheia de computador e com muita requisição - frisando que pra mim, esse cliente é um único IP, porém seus computadores estão todos por trás de NAT.

obs2: "--connlimit-above 12" = diz que o máximo é 12 conexões simultâneas.

obs3: "--connlimit-mask 32" = diz que ele vai tratar todos os IPs que passarem pela regra serão tratados isoladamente (ou seja, com a máscara /32, ou, 255.255.255.255), o que significa que serão 12 conexões simultâneas por IP -> 12 por cliente.

Bom é isso. Agora rola p2p na rede, sem prejudicar a qualidade, sem derrubar repetidora, etc, etc...Mesmo quem insista que os software p2p usem portas UDP, e o connlimit não limita UDP, o tráfego UDP é sempre muito menor que o tráfego TCP, da ordem de 1/4 + ou - , ou seja, limitando o número de conexões simultâneas TCP.

Agora que sabes que faz TUDO... quero saber se o pacote IPLIMIT funciona similar

Obrigado

nai falei besteira...

se voce voltar na sua resposta anterior.. veja que o comando esta imcompleto...

Correto amigo... perdão... a ultima linha deveria ter saido assim:

iptables -t mangle -A CONNLIMIT -p TCP -m state ! --state RELATED -m connlimit --connlimit-above 30 -j DROP

Mas e então... é possivel criar essa cadeia separando os serviços que terão limitação no iplimit assim como no meu exemplo com o pacote conlimit???

No AProuter eu acho que nao dá, mas vale a pena testar.

E existe algum outro firmware que esse comando funcione 100%???? Estou interessado nele pois como voces podem ler na dica que passei ele não limita todos os serviços... liberando aqueles "saudaveis"

Na verdade ele limita por porta, só que os softwares de p2p estão cada dia mais avançados, usando até mesmo a porta 80 em alguns casos.
Acho difícil você conseguir um firmware com todos esses recursos, pois eles normalmente tem apenas 2mb de flash, impossibilitando que muitos recursos sejam implementados.
Sem falar no poder de processamento dos AP, que é muito pequeno...

Certo... mas já ajuda pra caramba pow... imagina só!!!