En vacker vÄrkvÀll, nÀr man inte ville gÄ hem, och den oemotstÄndliga livsdriften och lusten att lÀra sig brÀnde som ett glödhett jÀrn, föddes idén att granska den lockande finessen pÄ brandvÀggen kallad «IP DOS-policy«.
Efter förberedande smekningar och bekantskap med manualen stÀllde jag in i lÀge Pass-and-Log, för att se överhuvudtaget vad som gick ut och den tveksamma nyttan av denna instÀllning.
Efter nĂ„gra dagar (för att statistiken skulle ha samlats, förstĂ„s, inte för att jag glömde) kikade jag i loggarna och började klappa hĂ€nderna av glĂ€dje â det hade samlats sĂ„ mĂ„nga poster som man kan tĂ€nka sig. Tycktes enkelt â aktivera policyn i lĂ€ge att blockera alla som flödar, skannar, skapar half-open sessioner med en timmes avstĂ€ngning och sova lugnt med vetskapen om att grĂ€nsen Ă€r lĂ„st. Men det 34:e Ă„ret av livet har övervunnit ungdomlig maximalism och nĂ„gonstans pĂ„ bakhuvudet hördes en tunn röst: «LĂ„t oss lyfta pĂ„ ögonlocken och se, vems adresser vĂ„r Ă€lskade brandvĂ€gg har identifierat som illvilliga flödlare? Jaha, i ordning av galenskap.»
Vi börjar analysera de erhÄllna data med listan över anomalier. Jag kör adresserna genom ett enkelt skript Powershell och ögonen snubblar över bekanta bokstÀver google.
Gnid i ögonen, blinkar i fem minuter för att sĂ€kerstĂ€lla att jag inte inbillade mig â verkligen pĂ„ listan över dem som brandvĂ€ggen ansĂ„g vara illvilliga flödlare, typ av attack â udp flood, adresser som tillhör den goda företaget.
Jag kliar mig i nacken och stĂ€ller in paketfĂ„ngst pĂ„ det externa grĂ€nssnittet för efterföljande analyz. RegnbĂ„gar av tankar far genom huvudet: «Hur kan det, nĂ„got infekterat inom Googles rĂ€ckvidd? Och jag upptĂ€ckte det? Det hĂ€r Ă€r belöningar, heder och en röd matta, och eget kasino med blackjack och, ja, ni förstĂ„râŠÂ»
Jag analyserar den erhÄllna filen Wireshark-om.
Ja, det Àr verkligen frÄn en adress inom rÀckvidden Google fritsar UDP-paket frÄn port 443 till en slumpmÀssig port pÄ min enhet.
Men, vÀnta nu⊠HÀr byts protokoll frÄn UDP till GQUIC.
Semen SemenovichâŠ
Jag kommer genast ihÄg rapporten frÄn HighLoad Alexander Tobolja «UDP mot TCP eller framtiden för nÀtverksstacken»().
Ă
ena sidan, kommer en lĂ€tt besvikelse â ingen Ă€ra, inga hedersutmĂ€rkelser. Ă
andra sidan, problemet Àr klart; det ÄterstÄr att förstÄ vart och hur mycket vi ska grÀva.
Ett par minuters samtal med Godhetens Korporetion â och allt faller pĂ„ plats. För att förbĂ€ttra leveranshastigheten av innehĂ„ll tillkĂ€nnagav företaget Google redan 2012 protokollet QUIC, som tar bort den största delen av TCP:s nackdelar (ja, ja, ja, i dessa artiklar â och det talas om en helt revolutionerande metod, men lĂ„t oss vara Ă€rliga, man vill att kattbilder ska laddas snabbare, inte de hĂ€r alla era medvetanderevolutioner och framsteg). Som vidare forskning har visat, gĂ„r mĂ„nga organisationer nu över till denna typ av innehĂ„llsleverans.
Problemet i mitt och, jag tror, inte bara i mitt fall var att det kom sÄ mÄnga paket att brandvÀggen uppfattade dem som flod.
Det fanns inte mÄnga lösningar:
1. LĂ€gga till i undantagslistan för DoS Policy pĂ„ brandvĂ€ggen med adressomrĂ„det Google. Med bara tanken pĂ„ intervallet av möjliga adresser började ögonen nervöst fladdra â idĂ©n sköts upp som galen.
2. Höja utlösningströskeln för udp flood policy â inte heller bra, vad hĂ€nder om nĂ„gon verkligt illvillig smyger sig förbi.
3. Förbjuda anrop frÄn det interna nÀtverket till UDP till 443 porten ut.
Efter att ha lÀst mer om implementeringen och integreringen QUIC pÄ Google Chrome antogs som ÄtgÀrd den sista varianten. Grejen Àr att den av alla Àlskade och hÀnsynslösa (kan inte förstÄ varför, hellre hade jag sett den skamlösa rödhÄriga Firefox-ska ansiktet fÄ betala för de uppÀtna gigabyterna rambuffert), Google Chrome försöker först upprÀtta en anslutning med sin plÄgade QUIC, men om miraklet inte intrÀffar, sÄ ÄtervÀnder han till beprövade metoder som TLS, Àven om han skÀms enormt över det.
Vi skapar en post pÄ brandvÀggen för tjÀnsten QUIC:
Vi stÀller in en ny regel och placerar den nÄgonstans högre upp i kedjan.
Efter att regeln aktiverats Àr det tyst och lugnt i anomalilistan, förutom de verkligt illvilliga övertrÀdarna.
Tack för er uppmÀrksamhet.
AnvÀnda resurser:
1.
2.
3.
4.
KĂ€lla: habr.com
