controle de banda para p2p e todo tipo de torrent

silviola escreveu:Limitar a quantidade de conexões UDP não é possível, isso é fato.
Limitar a velocidade é possível, porém a criptografia ( Obfuscation ) complicou bastante as coisas, pois a criptografia além de mascarar o tipo de conexão para o Layer7, ainda usa aleatóriamente conexões TCP e UDP, sem qualquer tipo de lógica.
Existem 2 únicas opções viáveis:
1a. Limitar a velocidade.
Para isso é necessário cercar o máximo possível, marcando o que dá pra marcar no mangle, ou seja:
- Bit-Torrent L7
- UDP (Porta 1024-65535 - Bytes 576-65535)
- all-p2p


Essa regra pega tudo que não for criptografado, e algumas coisas criptografadas pela regra UDP. Para incrementar essa regra, a unica solução é marcar todo o tráfego "do bem" no Mangle, de depois de tudo, como ultima regra, fazer o mangle pegar o que não for "do bem" e limitar. Uma regra simples de "tráfego restante". Mas lembre-se, antes dessa regra é preciso marcar o maior numero de coisas que não devem cair nessa regra.


2a. Bloquear a Conexão.
Essa regra impede a conexão dos programas, se eles não conectam, não baixam. Essa regra é complexa, é regra de "drop" e é a única capaz de impedir o Ares. Porém, pelo fato dela ser extremamente intrusiva, requer que algumas excessões sejam aplicadas antes do "drop all". Bom ao contrário da anterior, esta age no Filter, e não no Mangle. O Filter é hierárquico, então precisamos seguir a sequencia:
1. ARES
1.1- Dropar wares
1.2- Dropar Layer7 Ares
1.3- Dropar UDP Destino porta 0 (zero)
1.4- Dropar UDP Origem porta 0 (zero)
1.5- Dropar todos UDP destino portas 15000-65535 (portas altas)
1.6- Dropar todos TCP destino portas 15000-65535 (portas altas)
2. TORRENTS
2.1- Dropar Layer7 torrent
2.2- Dropar All-P2P
2.3- Dropar todos UDP destino portas 15000-65535 (portas altas) e com pacotes de tamanho entre 576-65535 (pacotes grandes)
3. EXCESSÕES TCP ACIMA PORTA 2000
3.1 Colocar todas as possíveis portas TCP's acima da porta 2000, pois a última regra vai dropar elas. Aqui o que eu uso de exceção, a modo de exemplo: Excessões TCP > 2000 3389,5900-5905 (Suporte remoto) 5190,6891-6901 ( MSN) - 8291 (Mikrotik) - 12975&32976 (LogmeIn/Hamashi) - 25999 (XFire) - 33434 (Traceroute) - 2350-2360 (TrackMania). Ponham tudo o que for "do bem" que usa TCP acima da porta 2000. Essa regra não é de "drop", mas sim de "accept".
4. DROP TODOS TCP ACIMA PORTA 2000


Fim


Não irei por a princípio regras aqui, pois quem sabe cria regras, quem não sabe copia e cola e não funciona pois o cenário das minhas regras dificilmente se aplicará a outrem. O mais importante, que tentei passar aqui, é o RACIOCÍNIO correto para bloquear, a efetivação vocês corram atrás.