Один пользователь или много в канале? (вопрос скорее теоретический)

[sirmax]

Добрый день!

 

Заинтересовался вопросом, как определить, использует ли пользователь свое подключение только для себя, или "расшаривает" его на нескольких друзей?

 

И собственно, способы больбы с этим явлением.

Я отлично понимаю, что грамотный админ сможет замаскировать траффик так, что найти что то будет практически невозможно, но

1 таких в сети единицы.

2 они обычно такой ерундой не занимаются.

(оговрюсь, интересуют именно технические методы, а не "тарифные". "тарифными" методами занимются финаситы.)

 

 

Пока что приходит в голову

 

1. Исследовать траффик напредмет ttl. (ttl конечно, можно менять, но факт нестандартного или ttl наводит на плдозрения)

 

2. Колличество одновременных сессий. (как проверить-посчитать-ограничить?)

 

3. Анализ статистики Layer7 фильтров по времени суток. Это скорее, метод выяыления попыток "расшаривания".

 

4. Методы социальной инженерии (здесь их не рассматриваем)

 

Если есть мысли (или, возможно, мысли почему так НЕ надо делать) - буду благадарен.

OS - Linux. Firewall - IPTABLES + L7filter

 

Спасибо.

[omi4]

Читать тут

 

Отловить не сложно, вопрос зачем?

[user_anonymous]

Радоваться, если человек использует свое подключение для нескольких друзей, так как это дает вам больше трафика.

[sirmax]

omi4

Спасибо, очень интересная статья.

 

user_anonymous

Если сказать по-существу нечего, то лучше промолчать

[extremist]

Мил-человек, извини уж за очередной оффтоп, но я от такого провайдера сбегу со скоростью смеха - у меня дома ровно три компа и они все хотят инета. Мне что, для всех разные каналы покупать? На это у нормальных провайдеров было ограничение в 20 Гб, факт серьезного превышения обычно указывает на целесообразность разбора природы трафа. Тот же МТУ-Интел обычно резал канал только в случае подозрения на использование его в коммерческих целях или в случае с совсем охамевшими юзерами. А Вы хотите создать пользователям проблемы на ровном месте, причем изначальную свою проблему до конца не пофиксите - прокси не так легко будет порезать.

[gauss]

Технически автоматическую фильтрацию сделать реально.

как вариант - файрволить в месте терминации трафика все пакеты с TTL отличным от 64 и 128.

Таким образом пустит трафик с "законного" компа, и зарежет с "незаконного", эффект будет идеальным, юный кулхацкер, потыкав галочки, не сможет добиться рабочего ната и возможно успокоится.

 

Действительно возникнут много вопросов от пользователей типа "а почему я не могу подключить второй компьютер дома?" или ситуаций, когда два друга-соседа скидываются деньгами на пользование одного канала, т.к. ни один ни другой такую сумму не осилит самостоятельно.

 

И рано или поздно кулхацкеры найдут решение как обойти фильтрацию.

[GateKeeper]

Вопросы по вполне легальному в данном случае пользованию в _одной_ квартире двух и более компов (типа комп у сына и ноут у папки) решаются путём простого вопроса еще на этапе подключения: "Будут ли использоваться несколько компьютеров при подключении к сети?". При этом желательно завизировать (например, монтажной группой) наличие этих компьтеров реально по адресу подключения. Всё остальное рубить, и вопросов не будет.

 

2user_anonymous: Вы одним только трафиком жить привыкли? Или-таки слышали уже про такое веяние моды, как "услуги", предоставляемые "на пользователя" (что фактически равнозначно "на конкретный подключенный компьютер")?