Una splendida sera di primavera, quando non avevo voglia di tornare a casa e un insaziabile desiderio di vivere e conoscere mi faceva vibrare come se fosse stato scottante, è nata l'idea di pasticciare con una sfiziosa funzionalità del firewall chiamata «politica IP DOS«.
Dopo i preliminari e aver consultato il manuale, ho configurato in modalità Pass-and-Log, per vedere quali fossero le uscite e l'utilità discutibile di questa configurazione.
Dopo un paio di giorni (per far accumulare le statistiche, ovviamente, non perché me ne fossi dimenticato) ho dato un'occhiata ai log e, danzando sul posto, ho battuto le mani: le registrazioni si accumulavano a dismisura. Sembrerebbe semplice: attiva la politica in modalità di blocco per tutto ciò che spamma, scansiona, stabilisce sessioni half-open con un divieto di un'ora e dormi sonni tranquilli sapendo che il confine è sotto chiave. Ma il mio trentatreesimo anno di vita ha superato l'idealismo giovanile e da qualche parte nella parte posteriore della testa è risuonato un vocettino: 'E se alzassimo le palpebre e guardassimo quali indirizzi il nostro amato firewall ha riconosciuto come malefici spammer? Giusto, per il gusto di farlo.'
Iniziamo ad analizzare i dati ricevuti a partire dall'elenco delle anomalie. Eseguo gli indirizzi attraverso un semplice script Powershell e i miei occhi si imbattono in lettere familiari. google.
Strofino gli occhi, sbatto le palpebre per cinque minuti per assicurarmi che non fosse un'illusione: davvero nell'elenco di ciò che il firewall ha considerato un malefico spammer, il tipo di attacco è flood UDP, indirizzi appartenenti alla corporazione del bene.
Mi gratto il cappello, sistemando al contempo sull'interfaccia esterna la cattura dei pacchetti per un'analisi successiva. Nella mia testa affiorano pensieri colorati: 'Come può esserci qualcosa di infettato nell'ambito di Google? E l'ho scoperto io? Questo è, è — premi, onori e un tappeto rosso, e un proprio casinò con blackjack e, beh, avete capito...'
Analizzo il file ricevuto Wireshark-me.
Sì, effettivamente dall'indirizzo nell'ambito Google stanno inviando pacchetti UDP dalla porta 443 a una porta casuale sul mio dispositivo.
Ma, aspetta... Ecco che il protocollo cambia da UDP in GQUIC.
Semyon Semyonovich...
Mi viene subito in mente la presentazione di HighLoad Aleksandr Tobol' «UDP contro TCP o il futuro dello stack di rete' ().
Da un lato, c'è un leggero disincanto: né premi né onori per te, barone. Dall'altro, il problema è chiaro, resta da capire dove e quanto scavare.
Pochi minuti di conversazione con la Corporation of Good - e tutto torna al suo posto. Nel tentativo di migliorare la velocità di consegna dei contenuti, l'azienda Google già nel 2012 ha annunciato il protocollo QUIC, che consente di eliminare gran parte dei difetti del TCP (sì-sì-sì, in questi articoli - e si parla di un approccio totalmente rivoluzionario, ma, parliamo chiaro, si desidera che le foto con i gattini si carichino più velocemente, e non tutte queste vostre rivoluzioni della coscienza e del progresso). Come ha dimostrato la successiva ricerca, molte organizzazioni stanno ora transitando verso questo tipo di consegna dei contenuti.
Il problema nel mio caso e, penso, non solo nel mio, è stata la grande quantità di pacchetti che alla fine circolano e il firewall li percepisce come un flood.
Le soluzioni si sono rivelate poco:
1. Aggiungere all'elenco delle eccezioni per la DoS Policy nel firewall l'intervallo di indirizzi Google. Solo al pensiero della gamma possibile di indirizzi, l'occhio ha cominciato a tremare nervosamente - l'idea è stata scartata come bizzarra.
2. Alzare la soglia di attivazione per la udp flood policy — anche questa non è una grande idea, e se qualcuno malintenzionato passa inosservato?
3. Vietare le richieste dalla rete interna verso UDP in 443 il port.
Dopo aver letto ulteriormente sull'implementazione e integrazione, è stata adottata come indicazione il ultimo opzione. Il fatto è che, amato da tutti in modo universale e spietato (non capisco per quale motivo, sarebbe meglio che quella faccia rossa e sfacciata di QUIC in Google Chrome - si bevesse gli GB di RAM che ha mangiato), Firefoxinizialmente cerca di stabilire una connessione utilizzando il suo stentato Google Chrome , ma se il miracolo non avviene, torna ai metodi collaudati come QUIC, anche se ne prova grande imbarazzo. TLSCreiamo nel firewall una registrazione per il servizio
Impostiamo una nuova regola e la posizioniamo più in alto nella catena. QUIC:
Dopo l'attivazione della regola, nella lista delle anomalie regna la calma, eccetto che per i trasgressori veramente dannosi.
Grazie a tutti per l'attenzione.
Fonti utilizzate:
Relazione di Alexander Tobaly
1.
2.
3.
4.
Fonte: habr.com
