По многочисленным наблюдениям системных администраторов различных компаний предоставляющих доступ к сети интернет, с начала февраля 2010 года наблюдается ежедневный лавинообразный рост количества пакетов в сети, их фрагментация, а также существенный рост исходящего трафика. Данная проблема связана с новой версией торрент-клиента uTorrent вышедшего 3 февраля 2010 года с поддержкой протокола uTP, работающего поверх UDP. Призванный снизить нагрузку на провайдеров протокол uTP в результате привел к обратному эффекту.Для относительно безболезненной для клиента фильтрации uTP на шлюзе под управлением Linux рекомендуется использовать следующее правило:
/sbin/iptables -I FORWARD -m udp -p udp -m string --hex-string "|7F FF FF FF AB|" --algo kmp \
--from 40 --to 44 -m statictic --mode random --probability 0.90 -j DROPМониторинг работы правила:
iptables -L FORWARD -nv | grep statist
Для FreeBSD правило будет выглядеть следующим образом:
ngctl mkpeer ipfw: bpf 2 main
ngctl name ipfw:2 utp_filter
ngctl msg utp_filter: setprogram { thisHook=\"main\" ifMatch=\"\" ifNotMatch=\"main\" bpf_prog_len=12 bpf_prog=[
{ code=48 jt=0 jf=0 k=0 } { code=84 jt=0 jf=0 k=240 } { code=21 jt=0 jf=8 k=64 } { code=48 jt=0 jf=0 k=9 }
{ code=21 jt=0 jf=6 k=17 } { code=40 jt=0 jf=0 k=6 } { code=69 jt=4 jf=0 k=8191 } { code=177 jt=0 jf=0 k=0 }
{ code=64 jt=0 jf=0 k=20 } { code=21 jt=0 jf=1 k=2147483647 } { code=6 jt=0 jf=0 k=65535 } { code=6 jt=0 jf=0 k=0 } ] }ipfw add 2 netgraph 2 udp from any to any iplen 0-128
Мониторинг:
ngctl msg utp_filter: getstats \"main\"
URL: http://forum.nag.ru/forum/index.php?showtopic=55025&st=160
Обсуждается: http://www.opennet.ru/tips/info/2304.shtml
Кто-нибудь смог расшифровать этот фильтр BPF? ;))
инопланетяне? :) какие алиены писали ЭТО?
есть транслятор в опкод bpf
http://citrin.ru/freebsd:ng_ipfw_ng_bpf
После этого кто-то ещё может наезжать на iptables?
Согласен.
Сравните текущий "iptables", реализованный на Red Hat и его клонах.... Какие есть проблемы? Я сравнивал... Шапка выигрывает
это нетграф, по сравнению с ним возможности iptables весьма игрушечны, но за сложность приходится платить... для простых вещей, есть простой инструмент: ipfw, для сложных - сложный.
Вы уж извините конечно, но у айпитаблеса - при взгляде на этот рулес сразу более-менее понятно что он делает. Более того, я его могу без проблем поменять на чуть иное похожее по смыслу. А вот на втором рулесе я попросту завис. И после этого бздуны говорят что айпитаблес - сложный? Шутники! oO
Не надо плакать, такие вещи обычно генерируются, а не пишутся вручную.
>Не надо плакать, такие вещи обычно генерируются,Мне в таком случае кажется логичным приводить описалово как сие сгенерячено, если уж советы даются. А то мюторентовцы обещали изменения протокола если что. И, думаю, они тоже учтут как это давится и срубят удавливание, что логично.
>а не пишутся вручную.
Ассемблить рулесы фаерволла в стиле асм-програминга с чуть ли не ручной вколоткой опкодов - это, гм, имхо какой-то оверкилл. Особенно для всего то отлова вхождения байтов в известном месте пакета. Как минимум некоторым (вроде не вам) после этого придется слегка STFU по поводу нытья насчет сложности айпитаблеса.
>После этого кто-то ещё может наезжать на iptables?если вы ничего не понимаете в ядерном синтезе, это вовсе не значит что он плох ) просто он не для средних умов ))
Кстати, после установки этого фильтра под FreeBSD у пользователей начались проблемы с коннектом к Counter-Strike и Counter-Strike Source.
>Для относительно безболезненной для клиента фильтрацииА насколько безболезненна такая фильтрация для роутера при, скажем, 200K pps ?
>А насколько безболезненна такая фильтрация для роутера при, скажем, 200K pps ?80K pps (pptp остальное на коммутаторах режится)
iptables -L FORWARD -nv | grep statist
44M 2599M DROP udp -- * * 0.0.0.0/0 0.0.0.0/0 udp STRING match "|7fffffffab|" ALGO name kmp FROM 40 TO 44 statistic mode random probability 0.900000Жалоб не поступало. uTorrent при этом переходит на обычный TCP. Без этого правила пакетов UDP более чем в 2 раза больше чем TCP, в основном мелочь 60-75 байт. Какой-либо прирост загрузки CPU не заметил. А вот размер netflow нормализовался, нагрузка на базу данных резко упала.
Интересно каким местом думали мюторентовцы хренача кипы мелких пакетов для толстого файлтрансфера? Они не в курсе что вызывает нагрузку на роутеры? Во бакланы. Если уж хотели юзать UDP, надо было юзать для bulk трансферов пакеты размера сравнимого с MTU.
На цискахclass-map type access-control match-any Torrent
match start l3-start offset 40 size 5 regex "\x7F\xFF\xFF\xFF\xAB"policy-map type access-control Torrent
class Torrent
dropinterface GigabitEthernet0/0
service-policy type access-control input Torrent
На Juniper бы сделать, пока непонятно.
А надо? Вроде ж выдерживают ;)
у нас фря справляется, а кошка становится очень задумчивой
правда потерь на канале не появляется
пришлось фильтр поставить
советую засунуть это правило для iptables в таблицу raw, т.е. iptables -t raw -I PREROUTING blbla.там оно будет stateless и и гораздо эффективнее.
правило для freebsd похоже на ч0рную магию. где можно почитать что значат эти значения в стоках вида code=xx jt=xx jf=xx k=xx?
man bpf
раздел FILTER MACHINE
http://nuclight.livejournal.com/товарищ "разжевывает"
Расшифровка фильтра, как и объяснение, как такое писать, тут: http://www.opennet.ru/opennews/art.shtml?num=25733 (там ссылки на два поста)А вообще-то он сгенерирован из очень простой командной строки: tcpdump 'udp[40:4]=0x7fffffff'
В правиле iptables вместо -m statictic должно быть -m statistic
это вообще лишнее :)
-m statictic --mode random --probability 0.90
Могли бы для ng_bgp сделать возможность определения программы в виде tcpdump синтаксиса. Одна команда, как я смотрю: cap_compile_nopcap().
А то же хомячки пугаются.
Кто подскажет как на кошках подрезать, пример с верху не прокатывает, нету в матче start и вообще не разобрать пакет по битно.
Завязли на Старом UBR7114 12.3(9a)