P2P 限制及流量控制技术说明版本 1.0 时间 2011 年 7 月作者韩晔支持的版本 FortiOS 4.0 MR3 Patch1 状态草稿北京市海淀区北四环西路 52 号中芯大厦 12 层电话 : (010)

Size: px

Start display at page:

Download "P2P 限制及流量控制技术说明版本 1.0 时间 2011 年 7 月作者韩晔支持的版本 FortiOS 4.0 MR3 Patch1 状态草稿北京市海淀区北四环西路 52 号中芯大厦 12 层电话 : (010)"

忧召
5 years ago
Views:

1 P2P 限制及流量控制技术说明版本 1.0 时间 2011 年 7 月作者韩晔 (yhan@fortinet.com) 支持的版本 FortiOS 4.0 MR3 Patch1 状态草稿

2 目录目的... 3 测试环境... 3 设备配置... 4 配置应用程序探测器... 4 配置流量整形器... 5 配置防火墙策略... 6 P2P 应用屏蔽效果... 7 屏蔽迅雷... 7 屏蔽 BT... 8 屏蔽电驴 P2P 应用限速效果迅雷限速 BT 限速电驴限速... 13

3 目的本文的目的是介绍 FortiGate 设备在应用控制功能中, 配置 P2P 限制及流量控制的方法, 并介绍对常见 P2P 软件做限制或流量控制时的效果在测试功能时, 使用的设备为 ForitGate 51B,FortiOS 版本为 4.0 MR3 Patch1 (Build 0458 ) 测试环境 FortiGate 51B 的 Internal 接口连接测试 PC,WAN1 口连接 Internet 测试 PC 可以通过 FortiGate 51B 正常访问 Internet IPS 引擎及 IPS 签名库版本信息如下 : 测试 P2P 软件版本信息如下 : 迅雷 7.2 版本比特精灵 3.6 版本电驴版本

4 设备配置配置应用程序探测器在 UTM Profiles 应用控制 Application Sensor 中, 创建新的应用程序探测器 : 输入新的应用程序探测器名称后, 创建新的应用程序列表 : 在新的应用程序列表中, 即可以添加所有 P2P 应用控制控制, 也可以单独添加一个或多个 P2P 应用添加所有 P2P 应用在 type 中选择过滤, 在分类中选择 p2p:

Application 中加入需要的应用 : 应用做流量控制配置流量整形器对 P2P

5 在动作中, 可以选择监视器屏蔽或重置, 选择监视器时, 可以对 P2P 应用做流量控制添加一个或多个 P2P 应用在 Type 中选择应用, 在 Application 中加入需要的应用 : 在动作中, 可以选择监视器屏蔽或重置, 选择监视器时, 可以对 P2P 应用做流量控制配置流量整形器对 P2P 应用做流量限制时, 需要配置流量整形器

6 在 Firewall Objects 流量整形器共享的中, 创建新的流量整形器 : 输入流量整形器名称, 勾选最大带宽, 再输入限制多少带宽 : 新建的流量整形器可以在应用程序探测器中应用 : 配置防火墙策略配置的应用程序探测器需要在防火墙策略中应用才能生效在 Policy 策略策略中, 勾选需要引用应用程序探测器的策略, 再点击编辑 :

7 在编辑输出策略窗口中, 勾选 UTM 再勾选启用应用控制, 在下拉菜单中选择应用程序探测器在丌同的策略中, 可以选择丌同的应用控制探测器因此, 对丌同的源 IP 地址, 可以做丌同的 P2P 控制策略 P2P 应用屏蔽效果屏蔽迅雷在应用程序探测器中, 选择屏蔽 Thunder, 使用迅雷客户端下载迅雷资源, 在下载软件中看到的效果如下 :

和 File.Resume.Dnld.HTTP, 在互联网上下载迅雷资源, 可以阻挡迅雷下载结果 : 同时屏蔽 Thunder 和 File.Resume.Dnld.HTTP, 可以阻挡迅雷下载注 : 屏蔽 File.

8 结果 : 迅雷可以下载, 但只有单线程下载, 即只能从资源的 HTTP 源地址下载在 FortiGate 应用日志中可以看到,Thunder 应用已经被屏蔽, 下载使用的是 HTTP Browser 应用, 即普通的 HTTP 下载, 如下图所示 : 在应用程序探测器中, 同时屏蔽 Thunder 和 File.Resume.Dnld.HTTP, 在互联网上下载迅雷资源, 可以阻挡迅雷下载结果 : 同时屏蔽 Thunder 和 File.Resume.Dnld.HTTP, 可以阻挡迅雷下载注 : 屏蔽 File.Resume.Dnld.HTTP, 即屏蔽了 HTTP 断点续传屏蔽 BT 使用 BT 客户端下载 BT

在应用程序探测器中, 选择屏蔽 BitTorrent, 使用比特精灵在互联网上下载 BT 资源, 可以屏蔽 BT 下载 : 结果 : 使用 BT 客户端下载 BT, 配置屏蔽 BitTorrent 应用, 可以屏蔽使用迅雷客户端下载 BT 在应用程序探测器中, 选择屏蔽 BitTorrent, 使用迅雷客户端在互联网上下载 BT 资源, 阻挡没有效果通过日志可以看到, 使用迅雷客户端下载

9 在应用程序探测器中, 选择屏蔽 BitTorrent, 使用比特精灵在互联网上下载 BT 资源, 可以屏蔽 BT 下载 : 结果 : 使用 BT 客户端下载 BT, 配置屏蔽 BitTorrent 应用, 可以屏蔽使用迅雷客户端下载 BT 在应用程序探测器中, 选择屏蔽 BitTorrent, 使用迅雷客户端在互联网上下载 BT 资源, 阻挡没有效果通过日志可以看到, 使用迅雷客户端下载 BT 资源时, 会自动启用多种 P2P 应用下载, 包括 edonkey BitTorrent.HTTP.Track HTTP.BROWSER Thunder xunlei.kankan 等, 因此无法阻挡如下图所示 : 在应用程序探测器中, 选择屏蔽所有 P2P 应用, 使用迅雷客户端在互联网上下载 BT 资源, 可以阻挡 BT 下载结果 : 屏蔽所有 P2P 应用后, 使用迅雷客户端不能下载 BT 资源

10 屏蔽电驴使用电驴客户端下载 edonkey 在应用程序探测器中, 选择屏蔽 edonkey, 使用电驴客户端在互联网上下载资源, 可以屏蔽电驴下载但在下载一些热门资源时, 偶尔会出现无法阻挡的情况, 原因是在资源中有些 0.5 版本以下的电驴客户端资源, 如下图所示 : 结果 : 屏蔽 edonkey 和 VeryCD 应用后, 使用电驴客户端基本可以阻止下载 edonkey 资源, 但有些下载客户端使用 0.5 以下版本时, 不能屏蔽使用迅雷客户端下载 edonkey 在应用程序探测器中, 选择屏蔽 edonkey, 使用迅雷客户端在互联网上下载资源, 阻挡没有效果通过日志可以看到, 使用迅雷客户端下载 BT 资源时, 会自动启用多种 P2P 应用下载, 包括 BitTorrent HTTP.BROWSER Thunder xunlei.kankan 等, 因此无法阻挡如下图所示 :

在应用程序探测器中, 选择屏蔽所有 P2P 应用, 使用迅雷客户端在互联网上下载 edonkey 资源, 可以阻挡电驴下载结果 : 屏蔽所有 P2P 应用后, 使用迅雷客户端不能下载 edonkey 资源 P2P 应用限速效果迅雷限速在应用程序探测器中, 选择 Thunder 和限速 100kbps, 限速没有效果在日志中会使用 xunlei.kankan 等 P2P 下载和 HTTP.

11 在应用程序探测器中, 选择屏蔽所有 P2P 应用, 使用迅雷客户端在互联网上下载 edonkey 资源, 可以阻挡电驴下载结果 : 屏蔽所有 P2P 应用后, 使用迅雷客户端不能下载 edonkey 资源 P2P 应用限速效果迅雷限速在应用程序探测器中, 选择 Thunder 和限速 100kbps, 限速没有效果在日志中会使用 xunlei.kankan 等 P2P 下载和 HTTP.Browser 方式下载如果需要对迅雷做限速, 需要对所有 P2P 应用进行限速, 此时, 迅雷从 HTTP 源地址下载文件没有限速下载的速度将由 HTTP 源地址下载速度所决定显示会话表可以看到,HTTP 会话没有限制流量, 而且 P2P 会话限制流量 : re=3597 timeout=3600 flags= sockflag= sockport=0 av_idx=0 use=5 origin-shaper= reply-shaper= per_ip_shaper= ha_id=0 hakey=61941

12 policy_dir=0 tunnel=/ state=log may_dirty rem statistic(bytes/packets/allow_err): org=8884/81/1 reply=11995/84/1 tuples=3 orgin->sink: org pre->post, reply pre->post dev=3->5/5->3 gwy= / hook=post dir=org act=snat :53476-> :80( :34924) hook=pre dir=reply act=dnat :80-> :34924( :53476) hook=post dir=reply act=noop :80-> :53476( :0) pos/(before,after) 0/(0,0), 0/(0,0) misc=0 policy_id=1 id_policy_id=0 auth_info=0 chk_client_info=0 vd=0 serial=0002bd18 tos=ff/ff ips_view=1 app_list=2003 app= dd_type=0 dd_rule_id=0 per_ip_bandwidth meter: addr= , bps=38436 session info: proto=17 proto_state=01 duration=157 expire=23 timeout=0 flags= sockflag= sockport=0 av_idx=0 use=5 origin-shaper=p2p_sharper prio=2 guarantee 0/sec max 12800/sec traffic 14123/sec reply-shaper=p2p_sharper prio=2 guarantee 0/sec max 12800/sec traffic 14123/sec per_ip_shaper= ha_id=0 hakey=20312 policy_dir=0 tunnel=/ state=log may_dirty os rs rem statistic(bytes/packets/allow_err): org=66/1/1 reply=119/2/1 tuples=3 orgin->sink: org pre->post, reply pre->post dev=3->5/5->3 gwy= / hook=post dir=org act=snat :24315-> :8912( :40563) hook=pre dir=reply act=dnat :8912-> :40563( :24315) hook=post dir=reply act=noop :8912-> :24315( :0) misc=0 policy_id=1 id_policy_id=0 auth_info=0 chk_client_info=0 vd=0 serial=0002bef7 tos=ff/ff ips_view=1 app_list=2003 app=7 dd_type=0 dd_rule_id=0 per_ip_bandwidth meter: addr= , bps=38436 结果 : 对所有 P2P 应用限速后, 迅雷下载速度将为限制的速度和 HTTP 源地址下载速度之和 BT 限速使用 BT 客户端下载 BT 在应用程序探测器中, 选择 BitTorrent 应用限速 100kbps, 下载速度

最高为 9KB, 可以实现限速结果 : 对 BitTorrent 应用限速后, 可以对 BT 客户端下载 BT 进行限速使用迅雷客户端下载 BT 在应用程序探测器中, 选择 BitTorrent 应用限速 100kbps, 使用迅雷客户端在互联网上下载 BT 资源, 限速没有效果不使用迅雷客户端限制下载 BT 相同, 在下载, 使用了多种

13 最高为 9KB, 可以实现限速结果 : 对 BitTorrent 应用限速后, 可以对 BT 客户端下载 BT 进行限速使用迅雷客户端下载 BT 在应用程序探测器中, 选择 BitTorrent 应用限速 100kbps, 使用迅雷客户端在互联网上下载 BT 资源, 限速没有效果不使用迅雷客户端限制下载 BT 相同, 在下载, 使用了多种 P2P 协议和 HTTP 协议进行下载即使选择对所有 P2P 协议进行限速, 也没有效果迅雷会从 HTTP 通道中下载 BT 资源如下图所示 : 结果 : 对所有 P2P 应用限速后, 无法对迅雷客户端下载 BT 进行限速电驴限速使用电驴客户端下载电驴在应用程序探测器中, 选择 edonkey 应用限速 100kbps, 使用电驴客

14 户端下载资源时, 对 v0.5 以下低版本的电驴客户端, 丌能实现限速使用迅雷客户端下载电驴在应用程序探测器中, 选择所有 P2P 应用限速 100kbps, 使用迅雷客户端下载电驴资源时, 没有效果迅雷会从 HTTP 通道中下载电驴资源如下图所示 :

NAT环境下采用飞塔NGFW

NAT环境下采用飞塔NGFW 版本 V1.0 时间作者 2017 年 5 月王祥状态反馈 support_cn@fortinet.com 目录 1 应用场景... 3 2 网络拓扑... 3 3 版本说明... 3 4 配置步骤... 4 4.1 FortiGate VXLAN 配置... 4 4.2 Ubuntu VXLAN 配置... 6 5 测试结果... 6 6 注意事项... 7 1 应用场景 VXLAN over

P2P 限制及流量控制技术说明 版本 1.0 时间 2011 年 7 月 作者 韩晔 支持的版本 FortiOS 4.0 MR3 Patch1 状态 草稿 北京市海淀区北四环西路 52 号中芯大厦 12 层电话 : (010)

P2P 限制及流量控制技术说明版本 1.0 时间 2011 年 7 月作者韩晔支持的版本 FortiOS 4.0 MR3 Patch1 状态草稿北京市海淀区北四环西路 52 号中芯大厦 12 层电话 : (010)