Отлов вирусной активности в сети с помощью Netflow

[@Sapercheg]

Если трафик будет 500 мбит — не умрёт?

[@LMik]

Ну в данный момент на FreeBSD при гигабите, нагрузки на анализ потока практически нет, на cisco темболее. Обработка одного порта занимает где-то 5-7 секунд.

[@slayerhabr]

что за циска?

[@LMik]

72xx

[@slayerhabr]

а какой NPE?

[@LMik]

G1 G2, на 400 не пробовал.

[@slayerhabr]

хм. у меня на G2 500мбит ~60% проца

[@LMik]

ну там есть что пооптимизировать, а вообще самое лучшее что может разгрузить проц — прибивание ACL на интерфейсах.

[@LMik]

а 500 всего или 500 пропуск? А вохдящий исходящий какой?

[@slayerhabr]

500 приходит, 500 уходит
около 350 входящего и 150 исходящего
acl нету

[@LMik]

Слабовато. BGP или еще что? Чем кроме роутинга занимается?

[@slayerhabr]

да, 3 фула, в принципе только роутинг

[@LMik]

А, ну тогда в принципе реальная нагрузка.

[@snp]

Запустил я файрфокс с 90 сохранёнными вкладками — можно распрощаться с инетом?

[@LMik]

Да вы, сударь, редкостный извращенец.

Но всё же о вас позаботились. Пошурудите гугл на тему максимальных одновременных коннектов в браузерах.

ПС: Аномальные параметры я привел для примера.

[@ToxoT]

На pf можно такое тоже можно организовать не прибегая к крону.
Вот пример для блокировки спам ботов.

table <spam_bots> persist file "/etc/spam_bots"
block drop in quick proto tcp from <spam_bots> to any port 25
block drop on $int_if proto tcp to any port 25
pass in on $int_if proto tcp to any port 25 flags S/SA keep state \
(max-src-conn-rate 5/1, overload <spam_bots> flush)

где int_if — внутренний интерфейс

[@LMik]

А на Cisco?

[@ToxoT]

к сожалению я не очень разбираюсь в циске, опыта у меня с ней маловато, потому решал задачу таким образом.

[@LMik]

linux bsd?

[@ToxoT]

bsd

[@arc]

На циско автодроп в акссесс листах делаешь.

[@LMik]

Есть примеры?

[@arc]

Cisco+netams+service acl-server в режиме динамическим аксес листов.
www.netams.com/doc/serv_aclserver.html

[@LMik]

Ну это сложно и на ацлях будет жраться проц, смысла не вижу.

[@arc]

это для контроля трафика через роутер :)
у меня например так стоит циско 2821.

просто не хочется заморачиваться с прокси сервером :)

как перейдем на безлимит, впринципе об этом можно забыть :)

[@LMik]

ааа, ну 28хх… это у вас объемы не те :)

Я на уровне провайдера имел в виду, минимум 72хх. Там лишний ацл при 100кппс дает хорошую нагрузку на проц.

[@arc]

ну дык :) на уровне прова совсем другие вопросы :)

[@onichan]

Большое спасибо. У меня решение аналогичной проблемы заняло 10+ строк в pf — ваш вариант более логичен и прост.

[@LMik]

Дело то ещё в чем :) На цисках то нету pf.

[@snp]

Уж пошурудил давно :) Специально выставлено 300 коннектов, чтобы грузилось всё побыстрее.

Техническая реализация — круто, реально очень прикольная идея, поставил бы плюс в карму даже :) Но вот так сразу «о нарушении регламента» писать, может вообще человека отрубать нафиг, всё равно пользы интернету не приносит? :) Вот задели меня последние строки, не могу молчать.

Я бы в личном кабинете сделал кнопку «отключить отключение от инета». Ну или хотя бы по email от продвинутых юзеров.

[@LMik]

Это вы как пользователь говорите, а с моей стороны приходится разгребать 200-300 спам репортов ежедневно. Да и под разряд «обыкновенного пользователя вы не подходите» — у всех нормальных людей в браузере по дефолту не больше 32 коннектов обычно. Я себе тоже ради эксперимента повысил до 128 на все вкладки, в итоге получил некоторые сайты с половиной подгруженных картинок, похоже блочат по коннектам. Ну куда вам 300 коннектов-то?

[@LMik]

Кстати по поводу не могу молчать… а вы в курсе как зависит скорость и качества вашего интернета, от активности ваших соседей? Не важно будет ли это dsl или ethernet?

[@ToxoT]

это понятно, что провайдер не рассчитывает, что все его абоненты будут одновременно сидеть и качать на всю возможную ширину канала. Он просто разориться на оборудование.

[@LMik]

Ну нет, тут всё же многое завязано на тарифную политику. Но сложностей в работе, неумеренный сосед вполне способен доставить. Тем более если их несколько, и они бессознательно спамят в 100-200 потоков.

[@ToxoT]

нескольких соседей c p2p тоже вполне достаточно)

[@LMik]

p2p всё же не тот трафик создает, что вирусня всякая.

[@pharao]

Откройте для себя NFDUMP.
Там весьма убойный анализатор netflow данных.

[@LMik]

Ну зачем же мне такие сложности :)

[@StamPit]

Используете ли Вы burst-ы для более точного определения именно вредной сетевой активности?

[@LMik]

Если хочется, можно допилить итоговый скрипт, чтобы уточнить его срабатывание. Например запоминать 3 последних состояния IP адреса по количеству коннектов.