Soort netwerkverkeer definitief blokkeren

[GZ]

Hallo,

Ik beheer een netwerk waarvan er een aantal computers (ongeveer 100) staan, maar ook zogenaamde cursisten met notebooks binnen kunnen komen. Iedereen die een computer gebruikt krijgt een IP adres en kan zo het internet op, wat ook de bedoeling is.

Nu zijn er echter ook boeffies die hierin hun kans zien om flink films te downloaden en daar is dit netwerk uiteraard niet voor bedoeld. Uit de logs kan ik opmaken dat er P2P verkeer plaatsvindt, zoals BitTorrent etc.

Ik zou graag P2P verkeer op dit netwerk helemaal willen uitzetten. Ik heb zitten kijken naar uitgaande poorten dichtzetten op het modem, echter heeft dit weinig zin als mensen in hun BT client alsnog een andere poort kunnen instellen. Ook had ik gehoopt via MAC filtering op de switches e.e.a. dicht te zetten, echter is dit zoveel administratieve rompslomp dat dat niet echt werkbaar is. Daarnaast is er dan nog steeds een kans dat er MAC adressen worden gespoofed.

Daar het dus redelijk onzinnig is om op TCP port niveau of MAC niveau te filteren, vroeg ik mij af of er misschien iets is waarmee ik de soorten verkeer kan filteren. Ik ben al een beetje bezig met SNORT als IDS in de hoop dat ik dan dit verkeer op het netwerk kan filteren, maar ik weet eerlijk gezegd niet of dit mijn doeleinde ondersteunt.

Jullie wellicht nog ideeen wat ik kan doen om dit verkeer te filteren?

[CherandarGuard]

Ik ben er zelf ook naar op zoek geweest, maar het ziet er naar uit dat bittorrent feitelijk niet tegen te houden is.

Ik ben zelf geen fan van blokkeren, naar mijn idee moeten de misbruikers gewoon aangesproken worden.
Maar ja, als het management slappe knieën heeft, heb ik weinig keus meer.
Ik sluit nu bij notoire aso's gewoon alles behalve tcp poort 80 uitgaand af. Geen waterdichte oplossing, maar het beperkt de ellende in ieger geval al in aardige mate.

[SinergyX]

Zou je dan niet gewoon aantal verbindingen per IP kunnen controlleren? Een normaal internettend (bijv.nm) persoon zou geen 10-40 verbindingen open hebben staan, daar heb je BT toch redelijk mee te pakken.

[TrailBlazer]

Ik zou gewoon enkel verkeer naar poort tcp 80/443. De rest gewoon droppen klaar.

[FireDrunk]

Statefull Packet Inspection, als je er echt je best mee wil doen, zet je een systeem als ClearOS op. Die kunnen (met een goed SSL certificaat) in een HTTPS tunnel filteren omdat hij deze onderbreekt op de firewall.

Als je dus Torrent verkeer echt wil blokkeren, moet je zoiets gebruiken. Verder ondersteund ClearOS ook heel veel predefined P2P programma blokkades.

[kokkel]

Er is een modulle voor Packet Fence, die dropt torrent verkeer en andere p2p.

[LuckY]

Je kan het ook op een andere manier aanpakken, met QoS
Gebruiker mag doen wat die wilt, echter hij mag maar xxKb gebruiken
Daarnaast is het sowieso een best practice om outbound te filteren, maar je zo ook naar dingen als een transparante proxy kunnen kijken die enkel HTTP/HTTPS toestaat dus echt DPI toepast

FireDrunk schreef op donderdag 10 maart 2011 @ 12:41:
Statefull Packet Inspection, als je er echt je best mee wil doen, zet je een systeem als ClearOS op. Die kunnen (met een goed SSL certificaat) in een HTTPS tunnel filteren omdat hij deze onderbreekt op de firewall.

Als je dus Torrent verkeer echt wil blokkeren, moet je zoiets gebruiken. Verder ondersteund ClearOS ook heel veel predefined P2P programma blokkades.

Is een heel donkergrijs gebied omdat je ook legitieme https sessies (zoals bank en webmail) gaat filteren, wat mij dus echt niet de bedoeling lijkt

[ Voor 50% gewijzigd door LuckY op 10-03-2011 13:02 ]

[teigetjuh]

Misschien zou een transparante proxy/gateway wat kunnen zijn? Kun je zelf bepalen welk verkeer er dus WEL door kan.
Want torrent-verkeer is het misschien op dit moment, maar misschien wil je over een maand ook wel poort 25 afsluiten voor een deel van je netwerk, in verband met spammers?

Torrentverkeer, maar ook bijvoorbeeld skype (heb je niet aangegeven, is een voorbeeld) zijn lastige zaken om goed tegen te houden, hierbij is de oplossing eigenlijk bijna altijd: Verbied alles en laat alleen de gewenste zaken door.

[GZ]

Bedankt voor de antwoorden zover, ik ben eigenlijk vergeten te vertellen dat het eigenlijk niets mag kosten qua geld. Tijd en beschikbare middelen wel. Eventueel zou er wel een PC bij kunnen komen om verschillende soorten traffic te filteren bijvoorbeeld.

[Freezerator]

De verloren produktiviteit kost dus niks? Maar je zou hier eens naar kunnen kijken, een layer 7 filter: http://l7-filter.sourceforge.net/

Ik zou het jezelf makkelijker maken door de "cursisten" in een apart netwerkje te gooien en dat knijpen en alleen port 80/443 toestaan.

[Beatboxx]

Je kan ook gewoon MAC-adressen van degene die p2p gebruiken blokkeren, en alle cursisten waarschuwen. Sowieso alles dichtgooien behalve poort 80&443 lijkt me ook niet onverstandig...

[leuk_he]

Beatboxx schreef op donderdag 10 maart 2011 @ 13:36:
Je kan ook gewoon MAC-adressen van degene die p2p gebruiken blokkeren, en alle cursisten waarschuwen. Sowieso alles dichtgooien behalve poort 80&443 lijkt me ook niet onverstandig...

Niet ongebruikelijk inderdaad je Gasten in een ander netwerk te laten komen dan de vaste (goed beheerde) pc. Je kunt de vaste PC herkennen op basis van mac-adres.

Laat dan in ieder geval het gast verkeer door een proxy (je hebt vast wel ergens een server waar je een gratis proxy op kunt zetten, al op staat) zodat je daar dan je policies op kunt regelen.

aangezien het niks mag kosten moet je maar eens zelf kijken wat je nu voor netwerk appratuur hebt en wat je daarin kunt regelen. Verder is het handig als je ergens een server hebt waar je wat kunt op toevoegen.

[GZ]

Freezerator schreef op donderdag 10 maart 2011 @ 13:32:
De verloren produktiviteit kost dus niks? Maar je zou hier eens naar kunnen kijken, een layer 7 filter: http://l7-filter.sourceforge.net/

Ik zou het jezelf makkelijker maken door de "cursisten" in een apart netwerkje te gooien en dat knijpen en alleen port 80/443 toestaan.

Thanks, ik zal er eens naar kijken. Host OS moet Linux zijn begrijp ik als zo even zo snel kijk. Ben inmiddels ook ClearOS aan het downloaden. Kijken wat dat is.

[FireDrunk]

ClearOS is wel echt voor de wat gevorderde (netwerk)gebruiker en moet je niet willen gebruiken als je er geen verstand van hebt, of de zin hebt om het goed op te zetten.

Verder zou ik ook poort 53 openzetten, anders internet dat zo lastig

[Nielson]

Eventueel zou je ook eens kunnen kijken naar pfsense.

[hidden]

heb voor een bedrijf pfsense gebruikt als router. zo kan je medere netwerken maken en verkeer blokkeren zo ook p2p,

[bobsquad]

Je zei dat je nog een pc hebt als deze 2 netwerkkaarten heeft zou je een firewall van Astaro kunnen downloaden en de thuislicentie gebruiken die gratis is.

Hier kun je redelijk effectief bittorrent verkeer evenals skype en msn verbieden.

[MrFX]

indien je over cisco gear beschikt zou je eens naar nbar kunnen kijken

[Palomar]

Heb in het verleden ook wel es gehad dat huisgenoten torrent-programma's gebruikten die de hele boel vertraagden. In de router heb ik toen de poorten 10000-65000 geblokkeerd op bepaalde tijdstippen en volgens mij hielp dat al een heel stuk. Daarop kwamen nl. een heleboel connecties tegelijk door torrent, en andere (normale) programma's gebruiken die poorten toch niet.

Verder helpt het denk ik ook wel gewoon om een bordje oid op te hangen dat downloadprogramma's verboden zijn. Meeste mensen weten nl. niet dat torrents belastend zijn voor het netwerk en de router en laten het dus uit gewoonte aanstaan zonder kwade bijbedoelingen (denk ik).

[GZ]

Palomar schreef op donderdag 10 maart 2011 @ 14:25:
Heb in het verleden ook wel es gehad dat huisgenoten torrent-programma's gebruikten die de hele boel vertraagden. In de router heb ik toen de poorten 10000-65000 geblokkeerd op bepaalde tijdstippen en volgens mij hielp dat al een heel stuk. Daarop kwamen nl. een heleboel connecties tegelijk door torrent, en andere (normale) programma's gebruiken die poorten toch niet.

Verder helpt het denk ik ook wel gewoon om een bordje oid op te hangen dat downloadprogramma's verboden zijn. Meeste mensen weten nl. niet dat torrents belastend zijn voor het netwerk en de router en laten het dus uit gewoonte aanstaan zonder kwade bijbedoelingen (denk ik).

De cursisten praten niet allemaal NL of Engels. Tevens heb ik zelf geen toezicht op het netwerk, is ongeveer 50 km verderop. De leraren zullen het toezocht moeten houden, echter weten die ook niet allemaal waarop te letten. Daarom grijpen we naar technische maatregelen.

Inmiddels heb ik een machine ingericht met ClearOS en 2 netwerkkaarten, ziet er veelbelovend uit. Nu nog configgen en natuurlijk in de "produktieomgeving" inzetten.

Bedankt iedereen voor de antwoorden tot zover. Ik zal jullie op de hoogte houden hier over het verloop, mocht daar interesse voor zijn.

[Wceend]

FireDrunk schreef op donderdag 10 maart 2011 @ 14:01:
ClearOS is wel echt voor de wat gevorderde (netwerk)gebruiker en moet je niet willen gebruiken als je er geen verstand van hebt, of de zin hebt om het goed op te zetten.

Verder zou ik ook poort 53 openzetten, anders internet dat zo lastig

daar heb je toch interne dns servers voor. Niemand hoeft een outside dns request te doen behalve deze servers.