P2P Trafiği Tespiti için Cisco NBAR Kullanılması

... konulu sunumlar: "P2P Trafiği Tespiti için Cisco NBAR Kullanılması"— Sunum transkripti:

1 P2P Trafiği Tespiti için Cisco NBAR Kullanılması
Gökhan AKIN AB’2006 Denizli

2 NBAR NBAR (Network-Based Application Recognition):
Cisco ağ geçidi (yönlendirici veya 3.katman anahtarlama cihazi) üzerinde Uygulama (imza) tabanlı inceleme yaparak trafiğin belirlenmesini sağlar.

3 NBAR’ın Farkı Ağ geçidi üzerinde çalıştığı için ağ dışına çıkan
bütün trafik incelenebilir. Araya ekstra cihaz koymaya gerek kalmaz. İstenen trafik kesilebileceği gibi, yönlendiricinin desteklediği bütün QoS teknikleri kullanılabilir. Cisco yönlendirici performansını arttırmak için kullanılan CEF (Cisco Express Fowarding) tekniğini kullanır.

4 NBAR’ı Destekleyen Yönlendiriciler
NBAR Destekleyen Cisco Yönlendiriciler: • Cisco 800 Series Routers • Cisco 1700 Series Modular Access Routers • Cisco 1800 Series Integrated Services Routers • Cisco 2600XM Series Router • Cisco 2800 Series Integrated Services Routers • Cisco 3700 Series Multiservice Access Routers • Cisco 3800 Series Integrated Services Routers • Cisco 7100 Series VPN Routers • Cisco 7200 Series Routers • Cisco 7300 Series Routers • Cisco 7500 Series Routers • Cisco 7600 Series Routers • Cisco Catalyst 6500

5 Cisco Express Forwarding (CEF)
CEF, Cisco yönlendiricide ASIC tabanlı hızlı anahtarlama yapılan bir yönlendirme tekniğidir.

6 CEF Çalışma Tekniği Forwarding Information Base: Yönlendirme tablosunda elde edilen 4 Katmanlı hiyerarşik bir yapıya sahip ,yönlendirme tablosunda bulunan karar verme mekanizmasında kullanılan detaylardan arındırılmış bir tablodur.

7 CEF Çalışma Tekniği (devam)
Adjacency Table : ARP tablosunun yönlendirme için özelleştirilmiş halidir. NetFlow Table : Raporlama için kullanılır, yönlendirmede işe yaramaz.

8 Packet Description Language Modules (PDLM)
Her yeni uygulama için Cisco IOS işletim sisteminde upgrade yapılmasına gerek kalmaması için P2P imzalarını yönlendiricinin flash hafızasına sonrada yüklenebilen modülerdir. Yönetici ihtiyacına göre kişiye özel PDLM’de yazılabilir.

9 Packet Description Language Modules (PDLM)
Citrix ICA L2TP IMAP StreamWorks NTP PCAnywhere MS-PPTP POP3 VDOLive Printer SFTP Exchange RTSP X Windows Novadigm SHTTP Notes MGCP r-commands SAP SIMAP SMTP FTP H.323 BGP SIRC DHCP/ Gopher RTCP EGP SLDAP BOOTP HTTP RTP EIGRP SNNTP Finger IRC SIP OSPF SPOP3 DNS Telnet SCCP RIP STELNET Kerberos TFTP Skype SQL*NET SOCKS LDAP NNTP BitTorrent MS- SQLServer SSH CU-SeeMe RSVP Direct Connect GRE ICMP NFS eDonkey/ eMule IPINIP SNMP Netshow Sunrpc FastTrack IPSec Syslog RealAudio NetBIOS Gnutella KaZaA WinMX

10 Güncel P2P PDLM Listesi P2P Protokolü Tipi Son PDLM Versiyonu
BitTorrent TCP 3 Gnutella 6 Kazaa2 TCP/ UPD eDonkey Fasttrack 2 Napster Direct/ Connect TCP/ UDP 1 WinMX

11 Konfigürasyon - 1 İzlenecek Protokollerin Belirlenmesi
Router(config)# class-map match-any p2p_listesi Router (config-cmap)#match protocol directconnect Router (config-cmap)#match protocol bittorrent Router (config-cmap)#match protocol edonkey Router (config-cmap)#match protocol kazaa2 ….

12 Konfigürasyon - 2 Belirlenen Protokollere Uygulanacak Politika
Router(config)#policy-map p2p_trafigi_politikasi Router(config-pmap)#class p2p_listesi Router(config-pmap-c)# set precedence 2 {0 ila 7 arasinda değer alabilir)* Router(config-pmap-c)# drop Router(config-pmap-c)# bandwidth percent 20 ….

13 Konfigürasyon - 3 Politikanın İnterface’e Uygulanması
Router(config)# interface FastEthernet0/0 Router(config-if)# service-policy input peer-to-peer

14 Konfigürasyon – 4 Zaman Bazlı Trafiğin Kesilmesi
Router(config)#time-range haftaici Router(config-time-range)# periodic weekdays 9:00 to 18:00 Router(config)# access-list 100 deny ip any any precedence 2 haftaiçi

15 Konfigürasyon - 5 Yeni PDLM Yüklenmesi
Router(config)#ip nbar pdlm flash:/<pdlm’in ismi> Router#sh ip nbar pdlm Harici yüklenmiş PDLM’lerin listelenmesi Router#sh ip nbar version Bütün PDLM’lerin versyonlarının listelenmesi

16 Konfigürasyon - Extra Örnek PDLM Tanımlaması
Router(config)#ip nbar custom yeni_P2P 5 ascii ASIM source tcp range Yukarda “yeni_P2P” ismi ile tanımlanan PDLM, paketin veri kısmini ilk 5. byte’inda sonra “ASIM” ascii dizini bulunması durumunda ve paketin kaynağının tcp 8000 ile 9000 portları arasında olması durumunu tarif etmiştir. Maksimum 10 tane tanımlanabilir.

17 NBAR ile Trafik İstatistiği - 1
Router(config-if)#ip nbar protocol-discovery FastEthernet2/1/1 Input Output Protocol Packet Count Packet Count Byte Count Byte Count 5min Bit Rate (bps) min Bit Rate (bps) 5min Max Bit Rate (bps) 5min Max Bit Rate(bps) http bittorrent

18 NBAR ile Trafik İstatistiği - 2
SNMP ile NBAR Trafik İstatistiğinin Tutulması iso = STRING: "napster" iso = STRING: "fasttrack" iso = STRING: "gnutella" iso = STRING: "kazaa2"

19 Sorular Sorularınız… www2.itu.edu.tr/~akingok/ csirt.ulakbim.gov.tr