Перенаправить Торрент трафик

[vov4ikagu]

Люди, Админы, подскажите как закрыть порты Торрент в Iptables или как написать правило, чтобы траффик можно было ограничить Squidom, порты стандартные перенаправляются на 3128, а траффика торента невидно в логах, так как торрент файлы качаются по DHT соединению которые вижу только Iptrafom. Если перенаправляю редиректом все порты свыше 10000 на 3128(SQUID) то торрент не работает, в логах Squida пусто.

[n2j2r]

Кто ж p2p-протоколы через squid пускает? Попробуйте нат!

[vov4ikagu]

Вопрос в том, что нат работает, т.е. торрент работает, а трафик его ограничить немогу, подскажите чем его можго учитывать и ограничивать.

[n2j2r]

1. iptables. Создаешь отдельную цепочку для torrent и смотришь на счетчики или пишешь скрипт на баше, например, который по крону будет грепать эти счетчики. Подобным образом когда счетчик станет равным N делаешь DROP на цепочку.
2.Netams
3.Socks

[zkrvova]

Сделать цепочку думаю ему не трудно, как направить трафик торента через цепочку, вот в чём вопрос! Ведь торент может работать через любой порт.

[n2j2r]

zkrvova,
Пока вот что на ум пришло:
1. Используются порты 6880-6999, а не все. Но это все равно тупо - натить диапазон.
2. Автор не указал ничего о клиентах, которые подключаются. Если же клиент на самой машине, где iptables, то можно заюзать модуль owner и пускать по uid-у торрент клиента

[McLeod095]

http://www.netfilter.org/projects/patch-o-...m-external.html
предпоследний patch может даже поможет.

[zkrvova]

zkrvova,
Пока вот что на ум пришло:
1. Используются порты 6880-6999, а не все. Но это все равно тупо - натить диапазон.
2. Автор не указал ничего о клиентах, которые подключаются. Если же клиент на самой машине, где iptables, то можно заюзать модуль owner и пускать по uid-у торрент клиента

Может используются и 6880-6999, но могут использоваться если эти закрыты любые, на сколько я знаю.

[vov4ikagu]

Клиенты работают в сети, а не на сервере. Проблема в том, что порты торрент раздает динамически, а ограничить траффик немогу. Пробовал закрыть Сквидом, на торрент достучаться трекер не может, но закачка продолжается по DHT.

[vov4ikagu]

Подскажите пожалуйста, ну очень надо!!!

[shark3D]

Подскажите пожалуйста, ну очень надо!!!

Посмотрите в сторону дополнительного модуля к iptables ipp2p. Думаю, это то что нужно.

[vov4ikagu]

Спасибочки, можт какая литературка где имеется?

[loki4]

Я вот не пойму, а как у Вас реализована защита? Почему появляются где то дыры, что трафик может ходить в обход файервола?
Вообще, какая топология сети? Какая разница, динамически порт выдается или нет, ставте политику по умолчанию везде на DROP и никто, никуда не пройдет. Или я не прав?

Покажите

Код: Выделить всё

#iptables-save

если оно конечно не слишком объемное.

Начните вот с чего. Закройте все. Раз у вас в сеть народ ходит через прокси, то откройте доступ только к нему. Проверте, как работает веб. Как торент? Если все еще работает, надо искать дыру. Если нет, тогда прокидывать определеные порты в сеть по средствам DNAT.

[vov4ikagu]

Ну вот он

[loki4]

Да, странная у Вас стратегия. Так и потеряться можно. Я конечно не знаю, чего Вы хотели этим добиться, но я всегда иду другим путем.
Можно делать что "все разрешено, что не запрещено", т.е. как сейчас у Вас.
А лучше все же делать так чтобы "запрещено все, что явно не разрешено". Таким образом вероятность что то упустить меньше.

Итак я рекомендую попробовать сделать таким образом:

Код: Выделить всё

#iptables -P INPUT DROP
#iptables -P OUTPUT DROP
#iptables -P FORWARD DROP
#iptables -A INPUT -s 192.168.1.0/255.255.255.0 -i eth1 -p tcp -m tcp --dport 3128 -j ACCEPT

В общем виде это выглядит так. Может надо еще несколько правил добавить, но смысл в том, что доступ на сетевой карте обращеной в локальную сеть разрешен только к прокси серверу.
Проверте данное правило, ну а потом начинайте "дырявить" файервол для необходимых служб. Ну а потом настраивайте DNAT для торента.

И еще Вы хотите прозрачный прокси? Или может проще проставить в браузерах пользователей адрес прокси-сервера? Ну или зачем тогда Вы редиректите такие странные порты 1025, 1080, 6882... ? Я думал, что 80, 443 и 8080 портов вполне хватит. А кому не нравится, пусть работают дома.