作者tkaowei (Plug & Pray)
看板NetSecurity
标题[请益] firewall 设定问题
时间Mon Aug 27 21:24:22 2007
状况： 区网中有P2P重度使用者，为了自己上网的权益，
私自设定该死的规则。
设备： CHT 640K/8M, D-link DI-704P
全部的 IP 皆是透过 704P 作 DHCP 来分配。
704P 设定：
特殊应用程式：
网域名称 触发器 公用服务埠
MSN 1863 6891-6900,6901,5190
firewall:
功能 名称 来源 目的 协定
允许 MSN_others *,* *,* *,6891-6900
允许 MSN_voice *,* *,* UDP,5190
允许 MSN_main *,* *,* *,1863
rule 5 允许 Web_access *,* *,* *,1-1024
rule 4 拒绝 Block_all *,* *,* *,*
rule 3 允许 Ping WAN port WAN,* WAN,* ICMP,*
rule 2 拒绝 Default *,* LAN,* *,*
rule 1 允许 Default LAN,* *,* *,*
==========================================================================
施行结果报告：
失败！
起初虽然大家都很高兴，连自己的P2P都不能用了，只能乖乖的上网看网页，
打ptt、 MSN。
但对方仍通行无阻。
只见它透过 port 22(UDP)，接下来透过某台机器的 port 12013，仍
然将 router 操翻掉。
当然，网路速度可想而知。
=======================================================================
解决方式：
找出来聊天；对方一直说自己网路也一直断，只能用MSN和网页，最多看看网路电视；
绝对不说自己有在使用p2p，
(研判是 foxy，port number 没有连结逻辑，每个port都会被用)
上面的规则全部删除，大家又回到蛮荒时代，看谁Layer高，谁的频宽就抢得多。
结论及请教：
1. 防火墙设定有误！？
2. 别想得太多，拳头大的是老大；不承认的就会赢的最终的胜利。
3. 仍然不知道对方使用啥软体来闪过防火墙的设定？
谢谢。
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 59.112.208.65
※ 编辑: tkaowei 来自: 59.112.208.65 (08/27 21:25)
※ 编辑: tkaowei 来自: 59.112.208.65 (08/27 21:25)
※ 编辑: tkaowei 来自: 59.112.208.65 (08/27 21:25)
※ 编辑: tkaowei 来自: 59.112.208.65 (08/27 21:27)
1F：推 peterh0710:704有MAC或IP过滤功能吗？有的话就设定下去吧。 08/28 15:48
2F：→ peterh0710:设定大家使用的尖峰时间暂时让对方不能上网 08/28 15:48
3F：推 tkaowei:有阿，可是不能设定时间~~~ ==A 08/29 00:48
4F：推 spore:很多P2p软体只挡port是挡不掉的,必须使用IPS来挡 08/29 04:32
5F：推 celicx:设上QoS吧.....针对实体的interface限制bandwidth也行... 09/04 12:51