题 SOHO - 来自问题用户的节流bittorrent流量


我在一个小办公室管理网络(SW dev是我的“真正的工作”),并且有几个用户通过运行bittorrent来打败我们的互联网连接。在上传方面(20Mbps)几乎瘫痪的影响和潜在的责任之间,我想尽可能地关闭它。

预期问题或建议的一些快速细节:

  • 我们有2个运行最新DD-WRT的路由器(1个Linksys,1个Buffalo)和一个运行最新工厂软件的D-Link DIR-655

  • 互联网是FiOS 20/20计划

  • 用户通过WiFi和有线连接,每个人都使用DHCP

  • 获得新硬件(假设<$ 1000)可以真正做到这一点是一种选择

  • 我们制定了互联网使用政策,是的,但我希望通过IT尽可能强制执行,因为我们都知道有些人不能遵守规则。是的我知道处理这个问题是一个社会问题,但这部分是我的权威/控制。

  • 常见的策略(完全阻止MAC / IP访问,阻塞端口等)将无法正常工作。至少有两个人经常在其以太网接口上重新编程MAC地址。

我知道BT客户端可以配置为使用其他端口,因此阻止标准BT端口范围就是弱点。

我不敢相信我是第一个给这只猫皮肤的人。或者也许只有IT部门。有大量设备预算可以给这​​只猫皮肤?

谢谢你的帮助!


8
2018-04-30 19:29




确实非常棘手 - 我会密切关注这一个...... - RobertTheGrey


答案:


你是对的,它确实是一个需要管理层解决的社会问题。如果某些人正在影响网络,以至于它给其他人造成了问题,那么他们需要处理并解释如果他们继续保持这样的后果会是什么。重新编程其NIC上的MAC地址?如果他们没有合法的需要,那么你可以考虑锁定你的wifi路由器和网络交换机只接受来自某些MAC地址的连接。如果他们改变它,他们就无法进入网络,并且突然在边界路由器处进行MAC地址过滤/限制。

非标准端口的流量整形也可用于减少除标准http,ftp,smtp等之外的所有端口的可用带宽量。减少非标准应用程序可用的带宽量使得它们不太合乎需要。

边界路由器/防火墙的另一个选择是仅允许某些端口用于出站流量,仅限于标准端口。鉴于您的环境,这可能是也可能不实用。


4
2018-04-30 19:39





如上所述,在DD-WRT上启用QoS 这里。使所有非端口80/22/25 / IMAP / POP流量限制在一些非常小的带宽范围内,甚至将这些端口限制在合理的范围内,如2Mb / s左右。

然后去读 BOFH 关于如何对违规用户做些什么的想法。


4
2018-04-30 19:37





如果它的一个小办公室告诉员工停止使用bittorent或面临纪律处分,花钱/时间在一个小办公室的流量塑造似乎是荒谬的...除非有一些你没有提到的特殊情况。

我相信你办公室的经理会想知道为什么他们的员工有时间设置bittorent,在公司时间更改他们的mac地址等...


2
2018-04-30 21:00





如果你去寻求技术伎俩并忽视社交方面,坏人会尝试使用misc技巧来避免这些限制。如果你要实现标记和塑造bittorrent流量的东西,他们将开始使用加密等。

如果你只是去社交并开始对坏人大吼大叫,你就会成为他们的敌人。特别是如果这不是你的主要工作。他们可能会认为你限制他们取悦老板。每天与憎恨你的人一起工作很难过。

一种几乎不涉及暴力的非常有效的方法是监控网络使用情况。设置类似mrtg的东西,并为办公室中的任何人公开提供网络使用图。因此,只要有人抱怨互联网速度缓慢 - 请他到那里看看谁在浪费带宽。

这样你就不必单独对抗带宽生猪。你根本不需要打架,好用户会吃坏的。


2
2017-07-16 05:57





如果你没有权力为它而烦恼,并且那些做的人也不愿意,那么你几乎没有运气。是的,有技术方法可以解决这个问题。看来至少你的一些问题用户可能足够精明,以避免你尝试过的任何技术解决方案。更糟糕的是,对于那种人,你现在已经暗中验证了他们可以做(因为没有管理层的回应),只要他们这样做可以避免你提出的障碍。


1
2018-04-30 19:49





你应该看看 m0n0wall的 和 pfSense

我相信pfSense的流量整形功能更好,这就是我建议的。

遗憾的是,文档非常缺乏,但如果你稍微尝试一下,就不难搞清楚了。
只需运行向导并学习它将创建的规则。 另外,检查一下 流量整形指南

虽然这不会解决您的社会问题,也不会成为执行规则的最终解决方案,但我相信这是一个很好的中间立场。
您可以允许他们使用带宽,同时确保其他更重要的内容不会受到影响。


1
2018-05-08 19:43





您是否考虑过像Squid这样的Web代理?这可能是一种选择。我知道大男孩们可以在数据包级别进行过滤。

另一种解决方法是对每个工作站/笔记本电脑进行周期扫描,直到安装完毕。你看到一个BitTorrent客户端,你标记用户。您可以通过在以下位置查询注册表来编写简单的脚本:

HKLM \ SOFTWARE \微软\的Windows \ CurrentVersion \卸载\


1
2018-05-08 20:27



哇,谈论一个矫枉过正的:)) - kubanczyk


锁定这些机器 - 删除管理员权限。他们的表现就像被宠坏了的孩子,你唯一能做的就是以这种方式对待他们。


1
2018-05-27 15:24



我不明白这会阻止某人运行一个bittorrent客户端。 - Anonymous
如果你真的有时间打击,你可以限制他们只运行批准的exectuables。那时,我在想 - 这些人为什么还要收薪? - Kara Marfia