Cisco ASA - bloqueando o tráfego de BitTorrent

Question

Devido a avisos de remoção do DMCA, tentando bloquear o tráfego do bitTorrent para o cliente em um Cisco ASA 5520.

Software ASA: 7.2 ASDM: 5.2

O dispositivo é realmente usado apenas para NAT e VPN atualmente. Existe uma maneira simples de bloquear portas TCP bitTorrent 6881-6999 neste dispositivo?

    

Answer 1

Eu tentei fazer isso e tive alguns problemas. O maior deles era que a maioria dos clientes bittorrent hoje em dia escolheria uma porta aleatória fora desse intervalo. Bloquear apenas 6881-6999 é um começo, mas será facilmente derrotado. Mesmo se você bloquear todas as portas UDP e alta, os clientes eventualmente mudarão para as portas 80 e 443 (HTTP e HTTPS), que presumivelmente você não deseja bloquear.

Não encontrei uma boa maneira de bloquear totalmente o bittorrent. O Bittorrent evoluiu e se adaptou a todos os tipos de blocos, e continuará evitando as tentativas de bloqueá-lo. Tenho certeza de que há uma maneira de usar o Deep Packet Inspection para identificá-lo e desativá-lo, mas não tive a chance de ver isso. E eu não tenho certeza do quão bem sucedido isso seria devido a clientes bittorrent usando criptografia por padrão agora.

Eu tenho usado este código no meu ASA para, pelo menos, ajudar marginalmente a situação. Tenho certeza de que isso bloqueia outras coisas úteis, mas não tive reclamações de usuários.

object-group service Blocked-UDP-Ports udp
 description All ports blocked for Bit Torrent UDP DHT (all ephemeral ports except VPN encapsulation)
 port-object range 10001 65535
 port-object range 1024 1193
 port-object range 1195 9999
object-group service BitTorrent-Tracker tcp
 description TCP Ports used by Bit Torrent for tracker communication
 port-object eq 2710
 port-object range 6881 6999

access-list inside_access_in extended deny udp any any object-group Blocked-UDP-Ports log warnings inactive
access-list inside_access_in extended deny tcp any any object-group BitTorrent-Tracker log warnings inactive

    

Answer 2

A única maneira fácil de parar isso é, por padrão, negar todo o tráfego de saída e permitir portas específicas para serviços. É um PITA, mas os clientes bittorrent não vão escutar 1024 portas, então 443 e 80 são seguros. Então são dns, ssh, ftp, pop3, imap, sip, whois, telnet.