{"id":52438,"date":"2019-11-08T00:00:00","date_gmt":"2019-11-07T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/udp-flood-ot-google-ili-kak-ne-lishit-vseh-youtube"},"modified":"2020-02-18T14:00:09","modified_gmt":"2020-02-18T11:00:09","slug":"udp-flood-ot-google-ili-kak-ne-lishit-vseh-youtube","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/udp-flood-ot-google-ili-kak-ne-lishit-vseh-youtube","title":{"rendered":"UDP Flood fra Google, eller hvordan man ikke frar\u00f8ver alle YouTube","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En smuk for\u00e5rs aften, da jeg ikke havde lyst til at tage hjem, og den ukuelige trang til at leve og l\u00e6re br\u00e6ndte som gl\u00f8dende jern, kom id\u00e9en om at pille ved den tiltr\u00e6kkende funktion i firewallen kaldet «IP DOS-politik<\/b>«.
\nEfter nogen forberedelse og l\u00e6sning af manualen fik jeg det indstillet i Pass-and-Log<\/b>, for at se hvad resultatet var, og den tvivlsomme nytte af denne indstilling.
\nEfter et par dage (s\u00e5 statistikken kunne samle sig, selvf\u00f8lgelig, ikke fordi jeg glemte det) tog jeg et kig i loggene og klappede begejstret i h\u00e6nderne \u2014 der var indsamlet s\u00e5 mange poster, at man kunne sige, det var i overflod. Det skulle synes, hvad kunne v\u00e6re lettere \u2014 t\u00e6nd for politikken i blokkeringsmode for alle, der fl\u00f8d, scannede, og oprettede half-open<\/b> sessioner med en time ban og sov trygt med bevidstheden om, at gr\u00e6nsen var p\u00e5 l\u00e5s. Men i det 34. \u00e5r af livet havde jeg overvundet ungdommelig maximalisme, og et lille stemme i baghovedet sagde: \"Hvorfor ikke l\u00f8fte \u00f8jenl\u00e5gene og se, hvilke adresser vores elskede firewall har identificeret som frygtelige spammere? Bare for sjov.\"
\n<\/a><\/noindex>
\nVi begynder at analysere de indsamlede data fra listen over anomalier. Jeg k\u00f8rer adresserne gennem et simpelt script Powershell<\/b> og mine \u00f8jne falder p\u00e5 de velkendte bogstaver google<\/b>. <\/p>\n

\"UDP
\n
\nJeg gnider \u00f8jnene, blinker i fem minutter for at sikre mig, at jeg ikke dr\u00f8mmer \u2014 godt nok er nogle af dem p\u00e5 listen over, hvad firewallen betragter som frygtelige spammer, angrebstype \u2014 udp flood<\/b>, adresser der tilh\u00f8rer velg\u00f8renhedens firma. <\/p>\n

\"UDP
\n\"UDP
\n\"UDP
\n\"UDP
\n
\nJeg kl\u00f8r mig i nakken, mens jeg samtidig konfigurerer packet capture p\u00e5 den eksterne gr\u00e6nse for senere analyse. Tankerne flyver gennem hovedet: \"Hvordan kan noget inficeret v\u00e6re inden for Google? Og det var mig, der opdagede det? Det er jo, det er jo - bel\u00f8nninger, h\u00e6der og den r\u00f8de l\u00f8ber, og mit eget casino med blackjack og, ja, I forst\u00e5r...\"<\/p>\n

Jeg gennemg\u00e5r den modtagne fil Wireshark<\/b>-en.
\nJa, der bliver faktisk sendt UDP-pakker fra adressen i scopet Google <\/b>fra port 443 til en tilf\u00e6ldig port p\u00e5 min enhed.
\nMen vent lidt\u2026 Her skifter protokollen fra UDP<\/b> og f\u00e5 en fungerende kommando. GQUIC<\/b>.
\nSemen Semenyich\u2026<\/p>\n

\"UDP
\n
\nJeg husker straks et foredrag fra HighLoad <\/b>Alexander Tobol<\/u> \u00abUDP<\/b> imod TCP<\/b> eller fremtiden for netv\u00e6rksstakken»(link<\/a><\/noindex>).
\nP\u00e5 den ene side opst\u00e5r der en let skuffelse \u2014 hverken \u00e6re eller bel\u00f8nninger. P\u00e5 den anden side er problemet klart, det er bare at finde ud af, hvor meget der skal graves.
\nEt par minutters samtale med Velg\u00f8renhedens Korporation - og alt falder p\u00e5 plads. I et fors\u00f8g p\u00e5 at forbedre hastigheden p\u00e5 indholdslevering annoncerede virksomheden Google <\/b>allerede tilbage i 2012 en protokol QUIC<\/b>, der tillader at fjerne st\u00f8rstedelen af TCP's mangler (ja, ja, ja, i disse artikler - Rrraz<\/a><\/noindex><\/b> og To<\/a><\/noindex><\/b> der tales om en helt revolutionerende tilgang, men lad os v\u00e6re \u00e6rlige, man \u00f8nsker bare at kattebillederne skal indl\u00e6ses hurtigere, og ikke alt det der revolutionerende snak om bevidsthed og fremskridt). Som yderligere forskning har vist, er mange organisationer i \u00f8jeblikket ved at g\u00e5 over til en s\u00e5dan form for indholdslevering.
\nProblemet i mit tilf\u00e6lde, og jeg t\u00e6nker ikke kun i mit tilf\u00e6lde, var, at der i sidste ende g\u00e5r alt for mange pakker, og firewall'en opfatter dem som flood.
\nL\u00f8sningerne var ikke mange:
\n1. Tilf\u00f8je til undtagelseslisten for DoS Policy<\/b> p\u00e5 firewall'en scope af adresser Google<\/b>. Ved blot tanken om sp\u00e6ndvidden af mulige adresser begyndte \u00f8jet nerv\u00f8st at ryste - id\u00e9en blev udskudt som vanvittig.
\n2. H\u00e6ve t\u00e6rsklen for udp flood policy<\/b> - heller ikke ideelt, for t\u00e6nk hvis en virkelig skadelig en truede med at snige sig ind.
\n3. Forbyde henvendelser fra det interne netv\u00e6rk til UDP <\/b>og f\u00e5 en fungerende kommando. 443 <\/b>porten udad.
\nEfter at have l\u00e6st mere om implementeringen og integrationen i QUIC <\/b>i Google Chrome<\/b> blev den sidste mulighed taget som en handlingsanvisning. Det viser sig, at den elskede af alle, der st\u00e5r overalt og ubarmhjertigt (jeg forst\u00e5r ikke, hvorfor, hellere endda den p\u00e5tr\u00e6ngende r\u00f8dh\u00e5rede Firefox<\/b>-ske ansigt, der modtager for de optagede gigabyte RAM), Google Chrome<\/b> oprindeligt fors\u00f8ger at etablere forbindelse ved hj\u00e6lp af sin h\u00e5rdt pr\u00f8vede QUIC<\/b>, men hvis underet ikke finder sted, vender den tilbage til de afpr\u00f8vede metoder som TLS<\/b>, selvom den skammer sig over det grusomt. <\/p>\n

Vi opretter en post p\u00e5 firewall'en for tjenesten QUIC<\/b>:<\/p>\n

\"UDP
\n
\nVi konfigurerer en ny regel og placerer den et sted h\u00f8jere i k\u00e6den.<\/p>\n

\"UDP
\n
\nEfter aktiveringen af reglen i listen over anomalier er der stilhed og ro, bortset fra de virkelig grove overtr\u00e6dere.<\/p>\n

\"UDP
\n
\nTak for jeres opm\u00e6rksomhed.<\/p>\n

Brugte ressourcer:<\/b><\/u>
\n1.Alexander Tobals rapport<\/a><\/noindex>
\n2.Beskrivelse af QUIC-protokollen fra Infopulse<\/a><\/noindex>
\n3.Wikipedia<\/a><\/noindex>
\n4. KB fra Fortinet<\/a><\/noindex>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041e\u0434\u043d\u0438\u043c \u043f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u044b\u043c \u0432\u0435\u0441\u0435\u043d\u043d\u0438\u043c \u0432\u0435\u0447\u0435\u0440\u043e\u043c, \u043a\u043e\u0433\u0434\u0430 \u0438\u0434\u0442\u0438 \u0434\u043e\u043c\u043e\u0439 \u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c, \u0430 \u043d\u0435\u0443\u0435\u043c\u043d\u043e\u0435 \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u0436\u0438\u0442\u044c \u0438 \u043f\u043e\u0437\u043d\u0430\u0432\u0430\u0442\u044c \u0441\u0432\u0435\u0440\u0431\u0438\u043b\u043e \u0438 \u0436\u0433\u043b\u043e \u0430\u043a\u0438 \u043a\u0430\u043b\u0435\u043d\u044b\u043c \u0436\u0435\u043b\u0435\u0437\u043e\u043c, \u0432\u043e\u0437\u043d\u0438\u043a\u043b\u0430 \u0438\u0434\u0435\u044f \u043f\u043e\u043a\u043e\u0432\u044b\u0440\u044f\u0442\u044c \u0437\u0430\u043c\u0430\u043d\u0447\u0438\u0432\u0443\u044e \u043f\u0440\u0438\u0431\u043b\u0443\u0434\u0443 \u0444\u0438\u0447\u0443 \u043d\u0430 \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u0435 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c «IP DOS policy«. \u041f\u043e\u0441\u043b\u0435 \u043f\u0440\u0435\u0434\u0432\u0430\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u043b\u0430\u0441\u043e\u043a \u0438 \u043e\u0437\u043d\u0430\u043a\u043e\u043c\u043b\u0435\u043d\u0438\u044f \u0441 \u043c\u0430\u043d\u0443\u0430\u043b\u043e\u043c \u043d\u0430\u0441\u0442\u0440\u043e\u0438\u043b \u0432 \u0440\u0435\u0436\u0438\u043c\u0435 Pass-and-Log, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0441\u043c\u043e\u0442\u0440\u0435\u0442\u044c \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0430 \u0432\u044b\u0445\u043b\u043e\u043f \u0438 \u0441\u043e\u043c\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u043f\u043e\u043b\u0435\u0437\u043d\u043e\u0441\u0442\u044c \u0434\u0430\u043d\u043d\u043e\u0439 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0438. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-52438","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47UDP Flood fra Google eller hvordan man ikke frar\u00f8ver alle Youtube | ProHoster","description":"En dejlig for\u00e5rs aften, da hjemmef\u00f8lelsen ikke kaldte, og en uimodst\u00e5elig trang til at leve og l\u00e6re kriblede og br\u00e6ndte som et gl\u00f8dende jern, opstod id\u00e9en om at pille ved den fristende feature p\u00e5 firewall'en kaldet.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/udp-flood-ot-google-ili-kak-ne-lishit-vseh-youtube","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47UDP Flood \u043e\u0442 Google \u0438\u043b\u0438 \u043a\u0430\u043a \u043d\u0435 \u043b\u0438\u0448\u0438\u0442\u044c \u0432\u0441\u0435\u0445 Youtube | ProHoster","og:description":"\u041e\u0434\u043d\u0438\u043c \u043f\u0440\u0435\u043a\u0440\u0430\u0441\u043d\u044b\u043c \u0432\u0435\u0441\u0435\u043d\u043d\u0438\u043c \u0432\u0435\u0447\u0435\u0440\u043e\u043c, \u043a\u043e\u0433\u0434\u0430 \u0438\u0434\u0442\u0438 \u0434\u043e\u043c\u043e\u0439 \u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c, \u0430 \u043d\u0435\u0443\u0435\u043c\u043d\u043e\u0435 \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u0436\u0438\u0442\u044c \u0438 \u043f\u043e\u0437\u043d\u0430\u0432\u0430\u0442\u044c \u0441\u0432\u0435\u0440\u0431\u0438\u043b\u043e \u0438 \u0436\u0433\u043b\u043e \u0430\u043a\u0438 \u043a\u0430\u043b\u0435\u043d\u044b\u043c \u0436\u0435\u043b\u0435\u0437\u043e\u043c, \u0432\u043e\u0437\u043d\u0438\u043a\u043b\u0430 \u0438\u0434\u0435\u044f \u043f\u043e\u043a\u043e\u0432\u044b\u0440\u044f\u0442\u044c \u0437\u0430\u043c\u0430\u043d\u0447\u0438\u0432\u0443\u044e \u043f\u0440\u0438\u0431\u043b\u0443\u0434\u0443 \u0444\u0438\u0447\u0443 \u043d\u0430 \u0444\u0430\u0439\u0440\u0432\u043e\u043b\u0435 \u043f\u043e\u0434 \u043d\u0430\u0437\u0432\u0430\u043d\u0438\u0435\u043c.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/udp-flood-ot-google-ili-kak-ne-lishit-vseh-youtube","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-07T21:00:00+00:00","article:modified_time":"2020-02-18T11:00:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52438","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 03:36:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:43:24","updated":"2026-01-24 03:36:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/52438","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=52438"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/52438\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=52438"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=52438"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=52438"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}