hjelp med iptables

[trondrm]

Vi drifter et trådløst nett som bl.a en del skole-elever sitter på. Vi vet at det benyttes en del bittorrent på det nettet da vi har fått brev fra bl.a Sony som ber oss om å stanse dette... Vi benytter en Debian-boks som ruter og den kjører iptables. Vi har stengt for alle porter ut, bortsett fra de vanlige, http, https osv, men jeg vet jo selv at laster man ned en torrentfil fra f.eks piratebay så finner den glatt en tracker som går på port 80.

Er det noen som vet om noen løsning som fungerer eller har et iptables-skript som klarer å ta vekk brorparten av slik uønsket trafikk?

Jeg har sett flere eksempler, men har enda tilgode å se noe som faktisk virker. For eksempel er det flere som benytter linjer som:

iptables -A FORWARD -m string --algo bm --string "BitTorrent" -j DROP
iptables -A FORWARD -m string --algo bm --string "announce" -j DROP

og flere lignende strenger.

Men hvor i skriptet skal de stå for at ikke regelen slås ihjel av andre regler?

Er det noen som kan hjelpe?

[mrf00rk]

Ikke all verden til hjelp, men fant noe via google.com

http://l7-filter.sourceforge.net/protocols

http://www.ipp2p.org/

Disse to sidene ble nevnt flere plasser.

[Limpalot]

Har ikke forsøkt å stoppe BT med iptables, så om de to eksemplene virker skal jeg ikke si noe om, men for at de skal ha muligheten må de stå først i scriptet.
Iptables sjekker fram til treff, altså den første regelen som matcher er den som blir brukt, disse må altså stå FØR regelen som slipper gjennom trafikk på aktuell port...
Du også prøve Untangle, den påstår å kunne blokkere p2p, i tillegg får du spam-filtrering, virus-filtrering, adblock, blokkering av spesielle typer web-sider og en masse annet.
Enkelt og sette opp er det også, og gratis, nevnte jeg gratis?

[ak]

Det er svært vanskelig å virkelig blokkere bittorrent med IPtables alene. Den beste tilnærmingen jeg har sett så langt er http://l7-filter.clearfoundation.com/ (samme som mrf00rk lenker til, bare siste utgave). Litt usikker på om det gjør susen med kryptert bittorrent også.

Hvis du skal styre dette med jernhånd så må du nesten bruke proxyer som sjekker protokollen for web (NAT til squid, husk å ta med port 8080) og gjøre individuelle unntak for POP og IMAP.