Що фільтрувати, надаючи відкритий WiFi для обмеженої конференції чи наради?


11

Резюме

Основний питання: якщо у вас дуже обмежена пропускна здатність WiFi, щоб забезпечити Інтернет для невеликої зустрічі лише день-два, як встановити фільтри на маршрутизаторі, щоб уникнути одного або двох користувачів монополізувати всю наявну пропускну здатність?

Для людей, які не мають часу читати деталі нижче, я НЕ шукаю жодної з цих відповідей:

  • Закріпіть маршрутизатор і дозвольте ним користуватися лише кілька довірених людей
  • Скажіть усім вимкнути невикористані сервіси та взагалі міліцію
  • Слідкуйте за трафіком за допомогою sniffer та додайте фільтри за потребою

Я усвідомлюю все це. Жодна з них не підходить з причин, які стануть зрозумілі

ТАКОЖ ПРИМІТКА: Тут уже виникає питання щодо забезпечення належного WiFi на великих (> 500 відвідувачів) конференціях . Це питання стосується МАЛИХ зустрічей, що містять менше 200 людей, як правило, менше ніж удвічі, які використовують WiFi. Щось, що можна впоратися з одним домашнім або невеликим маршрутизатором для офісу.

Фон

Раніше я використовував пристрій маршрутизатора 3G / 4G, щоб забезпечити WiFi невеликим зустрічам з минулим успіхом. Під малим я маю на увазі однокімнатні конференції чи збори на замовлення барокка або скептикппаму чи зборів групи користувачів. Ці зустрічі іноді мають технічних відвідувачів, але не виключно. Зазвичай менше половини третини відвідувачів фактично користуватимуться WiFi. Максимальний розмір зустрічей, про який я говорю, - від 100 до 200 людей.

Зазвичай я використовую Cradlepoint MBR-1000, але існує багато інших пристроїв , особливо пристрої " все в одному", що постачаються постачальниками 3G та / або 4G, такими як Verizon, Sprint та Clear. Ці пристрої мають підключення до Інтернету 3G або 4G та розкривають його для кількох користувачів, які використовують WiFi.

Одним із ключових аспектів забезпечення доступу до мережі таким чином є обмежена пропускна здатність, доступна понад 3G / 4G. Навіть із чимось на зразок Cradlepoint, який може завантажувати баланс декількох радіостанцій, ви збираєтесь досягти лише декількох мегабіт швидкості завантаження, а може бути, і мегабіт або близько швидкості завантаження. Це найкращий сценарій. Часто це значно повільніше.

Мета в більшості ситуацій зустрічей - дозволити людям доступ до таких служб, як електронна пошта, Інтернет, соціальні медіа, послуги чату тощо. Це так, що вони можуть вести блог в прямому ефірі або твітнути твіт, або просто спілкуватися в Інтернеті або іншим чином залишатися на зв’язку (як з присутніми, так і з неприсутніми), поки зустріч триває. Я хотів би обмежити послуги, що надаються маршрутизатором, лише ті сервіси, які відповідають цим потребам.

Проблеми

Зокрема, я помітив пару сценаріїв, коли конкретні користувачі в кінцевому підсумку зловживають великою частиною пропускної здатності на маршрутизаторі, на шкоду усім. Вони розпадаються на дві області:

  • Навмисне використання . Люди переглядають відео YouTube, завантажують подкасти на свій iPod та в іншому випадку використовують пропускну здатність для речей, які насправді не підходять у залі засідань, де слід звернути увагу на динаміка та / або взаємодіяти.

    Однією з зустрічей, що ми проводили пряму трансляцію (через окремий, виділений зв’язок) через UStream, я помітив декількох людей у ​​кімнаті, на яких була створена сторінка UStream, щоб вони могли взаємодіяти з чатом зустрічі - очевидно, не враховуючи, що вони витрачають поточну пропускну здатність потоку. заднє відео чогось, що відбувалося прямо перед ними.

  • Ненавмисне використання . Існує безліч програмних утиліт, які широко використовуватимуть пропускну здатність у фоновому режимі, яку люди часто встановлюють на своїх ноутбуках та смартфонах, можливо, не усвідомлюючи цього.

    Приклади:

  • Завантажуйте програми, такі як Bittorrent, які працюють у фоновому режимі

  • Послуги автоматичного оновлення програмного забезпечення. Це легіон, тому що у кожного великого виробника програмного забезпечення є свої власні, тому можна легко мати Microsoft, Apple, Mozilla, Adobe, Google та інших, які намагаються завантажити оновлення у фоновому режимі.

  • Програмне забезпечення безпеки, яке завантажує нові підписи, такі як антивірус, анти-шкідливе програмне забезпечення тощо.

  • Програмне забезпечення для резервного копіювання та інше програмне забезпечення, яке "синхронізується" у фоновому режимі з хмарними службами.

Щоб ознайомитись із деякими номерами про те, яка пропускна здатність мережі засихає ці послуги, що не належать до Інтернету, без електронної пошти, ознайомтеся з цією останньою статтею про провідну мережу . Мабуть, веб, електронна пошта та чат усі разом займають менше однієї чверті інтернет-трафіку. Якщо цифри в цій статті правильні, відфільтрувавши всі інші речі, я маю змогу збільшити корисність WiFi в чотири рази.

Зараз у деяких ситуаціях мені вдалося контролювати доступ за допомогою безпеки на маршрутизаторі, щоб обмежити його дуже невеликою групою людей (як правило, організаторами зустрічі). Але це не завжди доречно. На майбутній зустрічі я хотів би запустити Wi-Fi без захисту і дозволити комусь користуватися ним, оскільки це трапляється в місці зустрічей, покриття 4G в моєму місті особливо чудове. Під час нещодавнього тестування я набрав 10 мегабіт на місці зустрічі.

Згадане вище рішення "розповісти людям в міліцію" не є підходящим через (a) значною мірою нетехнічну аудиторію та (b) ненавмисну ​​велику частину використання, як описано вище.

Рішення "запустити нюх і фільтрувати за потребою" не є корисним, оскільки зазвичай ці зустрічі тривають пару днів, часто лише один день, і у них є дуже маленький волонтерський персонал. У мене немає людини, яка б присвячувалася моніторингу мережі, і до моменту, коли ми повністю переробили правила, зустріч закінчиться.

Що я зрозумів

По-перше, я зрозумів, що я буду використовувати правила фільтрації домену OpenDNS для фільтрації цілих класів сайтів. За допомогою цього можна видалити ряд відео- та однорангових сайтів. (Так, я знаю, що фільтрація через DNS технічно залишає сервіси доступними - пам’ятайте, це в основному нетехнічні користувачі, які відвідують дводенну зустріч. Досить). Я подумав, що розпочну з цих виділень у інтерфейсі OpenDNS:

Прапорці OpenDNS-фільтра

Я думаю, що я, ймовірно, також заблокує DNS (порт 53) до будь-якого іншого, крім самого маршрутизатора, так що люди не можуть обійти мою конфігурацію DNS. Кмітливий користувач міг обійти це, бо я не збираюся ставити багато складних фільтрів на брандмауер, але мене це не дуже хвилює. Оскільки ці зустрічі тривають не дуже довго, це, мабуть, не вартує клопоту.

Це повинно охоплювати основну частину трафіку, що не належить до Інтернету, тобто однорангового та відеозапису, якщо ця стаття про Wired є правильною. Будь ласка, порадьте, якщо ви вважаєте, що існують суворі обмеження у підході до OpenDNS.

Що мені потрібно

Зауважте, що OpenDNS зосереджується на речах, які "заперечують" у тому чи іншому контексті. Відео, музика, радіо та однорангові всі охоплюються. Мені все ж потрібно висвітлити ряд цілком розумних речей, які ми просто хочемо заблокувати, оскільки вони не потрібні на зустрічі. Більшість із них - це утиліти, які завантажують чи завантажують законні речі у фоновому режимі.

Зокрема, я хотів би знати, чи номери портів або імена DNS для фільтрації, щоб ефективно відключити такі служби:

  • Автоматичні оновлення Microsoft
  • Автоматичні оновлення Apple
  • Автоматичні оновлення Adobe
  • Автоматичні оновлення Google
  • Інші основні послуги з оновлення програмного забезпечення
  • Основні оновлення вірусів / зловмисного програмного забезпечення / безпеки
  • Основні фонові послуги резервного копіювання
  • Інші послуги, які працюють у фоновому режимі та можуть їсти багато пропускної здатності

Я також хотів би будь-які інші пропозиції, які ви могли б мати, були застосовними.

На жаль, настільки багатослівний, але я вважаю, що це допомагає бути дуже-дуже чітким у питаннях такого характеру, і я вже маю половину рішення з питанням OpenDNS.


+1 за дуже добре розроблене та детальне запитання
Prix

OpenDNS зробить дуже хорошу роботу, заблокувавши ці медіа-сайти пропускної здатності; однак, проблема, з якою ви могли зіткнутися, полягає в тому, що будь-який кінцевий користувач може вручну редагувати свої налаштування DNS. Тобто, якщо у вас немає маршрутизатора, який підтримує команди IPTables (будь-який маршрутизатор, що підтримує DD-WRT) - таким чином ви можете змусити їх використовувати вказані вами налаштування DNS .
emtunc

Відповіді:


3

Для початку будьте дуже конкретні щодо типу трафіку, який ви хочете дозволити. Майте правило заперечення за замовчуванням, тоді дозвольте такі порти, як 80, 443, 993, 587, 143, 110, 995, 465, 25 (я особисто хотів би не відкривати це, але ви, ймовірно, отримаєте безліч скарг, якщо цього не зробите) . Також дозволити з'єднання UDP до порту 53 на серверах OpenDNS.

Це дасть вам чудовий початок. Це знищить більшість протоколів провисання пропускної здатності. Він також заблокує безліч VPN-підключень (не ssl vpns), що повинно запобігти людям в обхід вашої безпеки.

Якщо у вас є брандмауер, здатний блокувати файлові типи, вам, ймовірно, слід також заблокувати exe, bin, com, bat, avi, mpeg, mp3, mpg, zip, bz2, gz, tgz, dll, rar, tar та, ймовірно, купу інших Я виходжу.

Крім цього, ваші поточні обмеження, ймовірно, досить пристойні. Ви можете додати оновлення до списку. Особисто я б не блокував оновлення A / V. Якщо ви дійсно хочете, ви можете заблокувати їхні цілі домени (* .symantec.com, * .mcafee.com, * .trendmicro.com тощо). URL-адреси оновлення Microsoft доступні за посиланням http://technet.microsoft.com/en-us/library/bb693717.aspx


2

Використання OpenDNS не заблокує торренти.

Це лише заблокує їхню здатність знаходити нові торенти в Інтернеті та додавати їх у свою чергу.

Якщо вони пройдуть за допомогою 5 торрентів на півдорозі, а потім підключаться до локальної мережі через WiFi, wham, усі торренти відновляться та приймуть усю наявну пропускну здатність. Уважне читання веб-сайту OpenDNS вказує на це. А якщо подумати про те, як працює DNS, це має сенс.

Блокувати існуючі потоки важко. Ваш найрозумніший крок - обмежити кількість максимальних з'єднань до 60-100 на користувача, прямо в радіо. iTunes і Torrent відкривають тисячі.


1

По-перше, будь-який один маршрутизатор Wi-Fi дійсно хороший лише для близько 60-ти підключень, тому найгірший випадок, коли ваші «менше 200 людей, які користуються Wi-Fi менше половини» (99 користувачів), все ж можуть вимагати хоча б ще одного маршрутизатора.

По-друге, ви повинні вивчити формування трафіку ... в ідеалі ви хочете надати кожному IP-адресу зсередини однакову гарантовану мінімальну пропускну здатність і дозволити їм боротися за зайві ... таким чином ніхто не вимикається, але все одно хтось може вибухнути на повну ємність.


0

Я б запропонував вам дізнатися, чи можуть ваші маршрутизатори використовувати власну прошивку на зразок DD-WRT . З його допомогою ви можете використовувати QOS, який був би справді тим, що ви шукаєте.

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.