iptables to block torrent

все закрыть, и открыть только то, что можно

юзать squid в корпоративной сети

Лично я ничего лучше не придумал.

разреши исходящие запросы только на 80 и 443 порт

какие мысли будут блочить torrent-трафик средствами iptables

Выгравировать ман по iptables на бейсбольной бите, потом перестать страдать фигнёй и нормально объяснить персоналу политику компании и меры воздействия, которые грозят нарушителям.
Если же торренты никому не мешают и не влияют на эффективность труда, то вообще ничего не делать.

Хахаха :)

Спасибо ребят. Ну уж очень бы хотелось iptables заюзать. Знаю, что squid спасёт.

разрешить только исходящие соединения на нужные порты

разрешить только исходящие соединения на нужные порты

тогда вопрос почему одним FORWARD DROP не получается ограничиться.

Можешь или пользовать всякие модули для iptables которые умеют DPI и понимать что там torrent - но это унылое занятие, они очень устарели, и никому это не надо. Может можно ещё накрутить количество tcp/udp соединений, после превышения которых будет происходить REJECT... Но это всё - да... Полумеры. Ты говоришь сейчас о ПРИКЛАДНОМ уровне, тогда как iptables это утилита более низкого уровня.

Потому как iptables уровнем ниже торрентов. Он рулит в общем случае только установкой и контролем tcp/udp сессий.

Запрети всё и разреши только то, что нужно. Никакие DPI не спасут от шифрованного torrent трафика (на то он и шифрованный).

Знаете, у вас подход, как у некоторых псевдоврачей - вместо лечения болезней начинают бороться с симптомами.

К чему это я? Ах да, определитесь с причинами необходимости резать. Включу телепата и предположу, что их может быть две - не хватает ресурсов (скорости) на всех или организационная (начальство не хочет, чтоб люди фигнёй маялись на рабочем месте). Так вот, весь вопрос заключается в том, какая причина основополагающая.

Если первая - то резать необязательно, всё решается умным шейпером (связка tc+iptables), который будет управляем по параметрам длительнсоть сессии, количество пакетов в секунду и средний размер пакета в сессии (именно по таким характеристикам эффективно разделяется трафик на группы: закачка, мультимедия, серфинг), для уточнения, потребуется маркировка пакетов, hashlimit и connbytes в iptables.

Если причина вторая, организационная - то реальное и эффективное решение, это блокировка всего, кроме разрешённого (в этом конкретном случае прокси, squid).

Конкретно по вашему вопросу - потребуется достаточно мощная машинка для программной обработки средствами DPI (обычно, такое делается на железном уровне, с соответствующим ценником на оборудование).

Трекеры по ip заблочить