使用 Linux IPTables，如何阻止种子或任何 P2P 协议？

Question

在我们的机构，我们已经将 300 多台计算机连接到不同的局域网与互联网。这里包括办公室局域网和学生互联网实验室。我们想要控制 Torrent 或任何 P2P 协议。之前对我们问题的解决方案是KerioWinRoute 6.5.x，它最满足。

问题是，我们已经使用 Webmin 平台迁移到 Ubuntu 8.04 LTS。

Answer 1

基于端口的 P2P 阻塞几乎不是 100% 的解决方案。您可能要考虑的称为 L7 过滤（第 7 层过滤）。基本上，linux 有一个实现，它根据所有数据包的正则表达式匹配来决定什么是好什么是坏。

这可以帮助您阻止各种内容，包括 Skype。

请注意：检查和过滤数据包的正则表达式匹配是资源密集型的，这使得任何系统都更容易受到 DDOS 攻击，首选方法是将 iptables 中的协议作为目标。

Answer 2

唯一合适的技术解决方案是让所有流量通过一个代理，该代理将动态解密 SSL 流量，然后对通过的流量应用第 7 层过滤。

此类产品非常昂贵，因为它们背后通常有一个庞大的工程师团队来更新对数据包进行分类所需的规则。

您可以使用iptables前面提到的模块 sushipp2p或来帮助自己l7-filter，但它们不会捕获加密流量。

无论如何，技术很少是社会问题的解决方案，滥用企业/公共/任何网络进行 p2p 都是一个社会问题。尝试与您的用户交谈，让您的组织制定适当的政策并通过制裁来执行这些政策。根据我的经验，这比与用户进行持续的技术军备竞赛要好得多。