P2P фильтрация, iptables

p2p трафик

слишком широкое понятие. Конкретнее. А то любой внешний трафик можно фильтровать отрубив сетевуху

Уже нашел nDPI. Курю nDPI как замена l7filter

l7 + свои правила для сраного uTP.

в openwrt до сих пор поддерживают ядерные патчи для L7, жаль что никто не напоминает, что нужно включать sysctl net.netfilter.nf_conntrack_acct чтоб оно работало.

Vel так что же по вашему мнению лучше работает l7 или ndpi в частности для p2p трафика? Хочется его промаркировать и увести в другой канал. Я так понял l7 только с патчингом ядра?

l7 сейчас лучше ndpi по 2-м параметрам: добавление новых протоколов не требует перекомпиляции, объем кода меньше.

Во всем остальном проигрывает, в том числе и из-за необходимости патча ядра.

Какую версию ndpi посоветуете? Ядро 3.18.23

последнюю с github ветка netfilter.

Делаю

git clone https://github.com/vel21ripn/nDPI.git

В подробной инструкции от as_lan видел параметры bt_hash_size, bt_hash_timeout какие выбрать оптимальные значения? Какие еще параметры подкрутить?

«git clone -b netfilter https://github.com/vel21ripn/nDPI.git"

или потом „git checkout -b netfilter origin/netfilter“

bt_hash_size - число индексов в hash-таблице 1-32 (*1024). Расчет примерно такой - число элементов в хеш-таблице/(bt_hash_size*1024) рекомендуется меньше 300.

в первой строке /proc/net/xt_ndpi/info будет «count XXXX» - это число элементов в хеш-таблице. Зависит оно от трафика и от bt_hash_timeout. Чем больше трафик и bt_hash_timeout, тем больше count.

bt_hash_timeout < 900 ставить не смысла, т.к. по статистике именно в этот интервал наиболее вероятно обращение к пиру. Больше 3600 тоже нет смысла.

на трафике в 300Мбит у меня bt_hash_size=14 bt_hash_timeout=2100

Есть отдельная тема nDPI как замена l7filter [продолжение]

Спасибо, не видел темы.