Pacotes UDP, gerando milhoes em pouco tempo

[rcfweb]

Pessoal,

Seguinte tem um cliente meu que tem uma rede com uns 20 computadores só, mas tá gerando tanto tráfego com protocolo UDP que os ping começam a dar tempos de 10000ms na saída da internet.

Lá tem um servidorzinho que faz nat para as portas 443, 110, 25, 1177 (skype), 21, 22 já a navegação http é via proxy na 3128

Só que eu já tentei barrar esses UDP e apanhei feio, num consegui de jeito nenhum alguém tem algum exemplo de regra ai que eu possa usar para barrar?

Também desconfio que esse servidor esteja um tanto quanto lotado de conexões porque ele é um K6 2 - 500Mhz acho que tá fraco o coitado.

Bom é isso ai qualquer ajuda vai ser muito bem recebida.

Obrigado.

T+

Rodrigo.

[evandrofisico]

Mas, pra onde vão estes pacotes UDP? pra que porta ees estão indo? é mais interessante detectar a origem do problema e depois tentar sana-lo, pq se for alguém de dentro da rede tentando derrubar o firewall ou usando algum protocolo de troca de arquivo via UDP (bittorrent) essa pessoa vai tentar passa por cima das regras. Mas se vc só quiser bloquear coloque uma regra no iptables bloquando TODO o tráfego udp (dependendo dos usos atrás do firewall pode não ser uma boa idéia)

[rcfweb]

Os pacotes vão para várias partes do mundo china, nova zelandia, etc.., esses hosts eu peguei alguns e fiz um traceroute e cheguei até endereços desses países.

Quanto as portas são várias não é apenas uma são várias.

Já estive no local e pelo que vi o pessoal lá usa muito o skype e há spywares na rede deles.

bitorrent não tem e nem p2p.

Mas, pra onde vão estes pacotes UDP? pra que porta ees estão indo? é mais interessante detectar a origem do problema e depois tentar sana-lo, pq se for alguém de dentro da rede tentando derrubar o firewall ou usando algum protocolo de troca de arquivo via UDP (bittorrent) essa pessoa vai tentar passa por cima das regras. Mas se vc só quiser bloquear coloque uma regra no iptables bloquando TODO o tráfego udp (dependendo dos usos atrás do firewall pode não ser uma boa idéia)

[mhp]

Meu amigo, se a China está no meio, a rede deve estar infestada de vírus e afins. ë melhor fazer uma boa limpeza nas máquinas. Barrar todo tráfego UDP não é uma boa idéia porque serviços importantes usam este protocolo (DNS e NTP, por exemplo).

[mtec]

Se o tráfego estiver nas portas UDP 137:139 e 445 (alem das portas altas), não tenha dúvida... é vírus!!!

mtec

[panther]

Cara,

Varre a tua rede pq vc deve estar com muitom virus. E relamente o nosso amigo MHP está correto, DNS funcioan em UDP, portanto se barrar ferrou.

Abraço

[rcfweb]

Pessoal,

Primeiramente obrigado pela ajuda, já fiz os testes que voces falaram acima de barrar protocolos e tal e realmente alguns serviços funcionam em UDP, o que eu fiz foi liberar MASQUERADE apenas para portas específicas 443, 21, 22, 53 (UDP e TCP), 1177 (Skype UDP e TCP), 1863 (MSN) e a navegação vai via squid.

Só que mesmo assim ainda há uma grande quantidade de pedidos de requisição na placa de rede ethernet e dai o acesso fica lento e há uma latência enorme nos pings, ainda não sei o que pode ser.

Observei que os pacotes estranhos diminuíram mas ainda há uma grande quantidade de pacotes UDP na porta 1177 que é a porta do skype, em todos os computadores está instalado o skype e em todos eles é utilizado diariamente, porém apenas para texto, voz ele não é utilizado.

Se tiverem mais alguma dica para contribuir eu agradeço bastante, estou pensando que de repente pode ser o processamento do computador. Será que é isso? Mas eu usei o top para monitor o processamento e vi que o processador na maioria do tempo fica com mais de 90% livre.

T+

Rodrigo.

Cara,

Varre a tua rede pq vc deve estar com muitom virus. E relamente o nosso amigo MHP está correto, DNS funcioan em UDP, portanto se barrar ferrou.

Abraço

[fredpezzini]

Caro Rodrigo,

tente instalar um gerador de trafego/utilizaçao em seu linux - MRTG. Dai vc faz o controle do uso do cpu e trafego de rede para tirar uma conclusão.

Abraços

Fred

[alexandrecorrea]

mude a politica padrao do firewall..

iptables -P INPUT DROP
iptables -P FORWARD DROP


iptables -A FORWARD -s ip.da.sua.rede/24 -p udp --dport 53 -j ACCEPT #DNS
iptables -A FORWARD -s ip.da.sua.rede/24 -p tcp --dport 53 -j ACCEPT #DNS
iptables -A FORWARD -s ip.da.sua.rede/24 -p udp --dport 123 -j ACCEPT # NTP CLIENT
...

e por ai vai..

vai passar apenas oq ue vc permitir..