Bloqueo del Protocolo QUIC

joemg6 · Noviembre 12, 2015, 11:04:54 AM

Bloqueo del Protocolo QUIC

El protocolo QUIC fue creado por Google e implementado en algunos de sus servicios, es un protocolo basado en UDP. Con este protocolo se pretende mejorar la velocidad de navegación, pero en el caso usar servidores caché este protocolo no es soportado, por lo que procederemos a bloquearlo y obligar a usar el protocolo por convencional.

En este caso emplearemos el protocolo layer7 de Mikrotik, y agregamos las siguientes reglas, si se tiene más reglas en el firewall filter, revisar que no haya reglas que interfieran.

Código (mk) [Seleccionar]


/ip firewall layer7-protocol
add name=YouTube regexp="^.*(\\.youtube\\.com|\\.googlevideo\\.com).*\$"
/ip firewall filter
add action=drop chain=forward comment="Bloqueo QUIC" disabled=no dst-port=80,443 layer7-protocol=YouTube protocol=udp

También configuramos el firewall del Raptor, para eso agregamos la siguientes reglas, estas tienen que estar arriba de las regla de redirección.

Código (bash) [Seleccionar]


iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable
iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable
iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP

Luego reiniciar el firewal

severino.euclides · Noviembre 12, 2015, 11:23:07 AM

Una pregunta, ¿qué haría que Quico, y su papel actual !! ??

joemg6 · Noviembre 12, 2015, 11:35:33 AM

Cita de: severino.euclides en Noviembre 12, 2015, 11:23:07 AM
Una pregunta, ¿qué haría que Quico, y su papel actual !! ??

El protocolo QUIC pretende conseguir una mayor velocidad al navegar, es un protocolo basado en UDP creado por Google e implementado en algunos de sus servicios, lo malo para uso del servidor caché es que obliga a usar HTTPS, es por eso que se bloquea este protocolo con la finalidad de seguir usando HTTP en YouTube.

NIGROMANTE · Noviembre 12, 2015, 11:52:05 AM

Bueno al menos veo que es bastante util :D y en mi caso la verdad veo que el trafico mejoro en los clientes,.

jaikel gutierrez · Noviembre 12, 2015, 06:54:22 PM

amigo joemg6 saludos. hice la edición que comentaste qui en esta sección. y me quedo así. revisala por favor en el link para ver si me quedo bien o tengo algún error.... en estos momentos trabajo con redirecion NAT en el mikotik y poseo dos rangos de ip la 192.168.1.xxx para mis clientes wifi y la 192.168.2.xxx para mi cyber...de ante mano muchas gracias.!!! :-*
https://www.dropbox.com/s/nymerfogp8ou394/1.png?dl=0

joemg6 · Noviembre 12, 2015, 07:35:32 PM

Cita de: jaikel gutierrez en Noviembre 12, 2015, 06:54:22 PM
amigo joemg6 saludos. hice la edición que comentaste qui en esta sección. y me quedo así. revisala por favor en el link para ver si me quedo bien o tengo algún error.... en estos momentos trabajo con redirecion NAT en el mikotik y poseo dos rangos de ip la 192.168.1.xxx para mis clientes wifi y la 192.168.2.xxx para mi cyber...de ante mano muchas gracias.!!! :-*
https://www.dropbox.com/s/nymerfogp8ou394/1.png?dl=0

Solo quita o deshabilita las reglas de "Redirect 8080", no son necesarias y con eso estaría bien.

WALYN · Noviembre 13, 2015, 11:56:23 PM

Cita de: joemg6 en Noviembre 12, 2015, 11:04:54 AM
Bloqueo del Protocolo QUIC
QUIC es un protocolo basado en UDP creado por Google e implementado en algunos de sus servicios, con este protocolo se pretende mejorar la velocidad de navegación, pero para los que usamos el servidor caché QUIC obliga a usar HTTPS en esas páginas, como sabemos el servidor hace caché al contenido que pase por el puerto 80 HTTP. Es por eso que implementaremos las reglas de bloqueo a este protocolo, con la finalidad de seguir usando HTTP en YouTube.

En este caso emplearemos el protocolo layer7 de Mikrotik, y agregamos las siguientes reglas, si se tiene más reglas en el firewall filter, revisar que no haya reglas que bloqueen a estas reglas o pueden ponerlas en las reglas superiores.
Código (mk) [Seleccionar] Expandir
/ip firewall layer7-protocol add name=YouTube regexp=".*\\.(google|youtube|googlevideo)\\..*" /ip firewall filter add action=drop chain=forward comment="Bloqueo QUIC" disabled=no dst-port=80,443 layer7-protocol=YouTube protocol=udp

También configuramos el firewall del Raptor, para eso agregamos la siguientes reglas, que también tienen que estar en las reglas superiores, arriba de la regla de redirección.
Código (bash) [Seleccionar] Expandir
iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

Si se edita manualmente el archivo "/etc/raptor/fw.sh" sería de la siguiente manera
Como ej. se usó el IP 192.168.10.2 del servidor Raptor y su interface de red eth0 y el segmento de los usuarios 192.168.1.0/24.
Código (bash) [Seleccionar] Expandir
#!/bin/bash echo ";;;;;;;;;;;;;;;;;;;;;;;" echo "; RaptorCache ;" echo ";;;;;;;;;;;;;;;;;;;;;;;" echo 1 > /proc/sys/net/ipv4/ip_forward iptables -F iptables -X iptables -Z iptables -t nat -F iptables -P INPUT ACCEPT iptables -P OUTPUT ACCEPT iptables -P FORWARD ACCEPT iptables -t nat -P PREROUTING ACCEPT iptables -t nat -P POSTROUTING ACCEPT iptables -A INPUT -i lo -j ACCEPT #comment#Localhost iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT #comment#Input LAN iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC # ------------------------------------| Redireccion |-------------------------------------- iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128 #comment#Redirect 3128 # -----------------------------------------------------------------------------------------

Luego reiniciar el firewal, por terminal se ingresaría el siguiente comando
Código (bash) [Seleccionar] Expandir
bash /etc/raptor/fw.sh

excelente..pero yo lo tengo el raptor en modo gateway..como lo haria?

joemg6 · Noviembre 14, 2015, 12:12:49 AM

Cita de: WALYN en Noviembre 13, 2015, 11:56:23 PM
excelente..pero yo lo tengo el raptor en modo gateway..como lo haria?

Las reglas también están para que se usen en ese modo, por eso están separadas; ingresa las siguientes reglas antes de la regla de redirección.

Código (bash) [Seleccionar]


iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

WALYN · Noviembre 14, 2015, 12:20:11 AM

Cita de: joemg6 en Noviembre 14, 2015, 12:12:49 AM
Las reglas también están para que se usen en ese modo, por eso están separadas; ingresa las siguientes reglas antes de la regla de redirección.
Código (bash) [Seleccionar] Expandir
iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

pero tengo que hacer algunas modificaciones como esta:
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC

por ej:

Código (javascript) [Seleccionar]

########## PARAMETROS #########
INT_IN=eth0 # Interface que provee internet
INT_OUT=eth1 # interface que comparte internet a la Lan
RANGO=192.168.60.0/24
###############################
echo " Borrando las Cadenas existentes..."
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Zero all packets and counters.
iptables -Z
iptables -t nat -Z
iptables -t mangle -Z
echo " Estableciendo Politica por Defecto (ACEPTAR)"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
echo " Redireccionamos las peticiones de www hacia Squid Proxy"
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
 
iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -t nat -A PREROUTING -i $INT_OUT -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o $INT_IN -s $RANGO -j MASQUERADE
echo " Terminando la Configuracion del Firewall."

WALYN · Noviembre 14, 2015, 09:31:31 AM

me bloqueo www.google.com

angel · Noviembre 14, 2015, 11:21:16 AM

comentarles que al poner esto

iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC

me bloquea el buscador de google

por que sucede eso

mi configuracion es modo gateway

luistec · Noviembre 14, 2015, 11:28:31 AM

Cita de: angel en Noviembre 14, 2015, 11:21:16 AM
comentarles que al poner esto

iptables -A FORWARD -i eth0 -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i eth0 -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC

iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC

me bloquea el buscador de google

por que sucede eso

mi configuracion es modo gateway

Deshabiliten las reglas de TCP, en gateway

Código [Seleccionar]


iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC
iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC

Saludos.

WALYN · Noviembre 14, 2015, 12:59:06 PM

Cita de: luistec en Noviembre 14, 2015, 11:28:31 AM
Deshabiliten las reglas de TCP, en gateway
Código [Seleccionar] Expandir
iptables -A FORWARD -p tcp -m tcp --dport 80 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC iptables -A FORWARD -p tcp -m tcp --dport 443 -m state --state RELATED,ESTABLISHED -j DROP #comment#Block QUIC

Saludos.

yo lo tengo en modo gateway quedaría así?

########## PARAMETROS #########
INT_IN=eth0 # Interface que provee internet
INT_OUT=eth1 # interface que comparte internet a la Lan
RANGO=192.168.60.0/24
###############################
echo " Borrando las Cadenas existentes..."
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Zero all packets and counters.
iptables -Z
iptables -t nat -Z
iptables -t mangle -Z
echo " Estableciendo Politica por Defecto (ACEPTAR)"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
echo " Redireccionamos las peticiones de www hacia Squid Proxy"
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -t nat -A PREROUTING -i $INT_OUT -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o $INT_IN -s $RANGO -j MASQUERADE
echo " Terminando la Configuracion del Firewall."

rubennoboa · Noviembre 14, 2015, 01:01:30 PM

y para mdo gateway como ira esas reglas????? :'( :-* :-*

WALYN · Noviembre 14, 2015, 01:08:19 PM

Cita de: rubennoboa en Noviembre 14, 2015, 01:01:30 PM
y para mdo gateway como ira esas reglas????? :'( :-* :-*

yo la puse como esta arriba y me esta funcionando hasta ahora..

rubennoboa · Noviembre 14, 2015, 01:17:54 PM

Citaryo lo tengo en modo gateway quedaría así?

########## PARAMETROS #########
INT_IN=eth0 # Interface que provee internet
INT_OUT=eth1 # interface que comparte internet a la Lan
RANGO=192.168.60.0/24
###############################
echo " Borrando las Cadenas existentes..."
iptables -F
iptables -t nat -F
iptables -t mangle -F
iptables -X
iptables -t nat -X
iptables -t mangle -X
# Zero all packets and counters.
iptables -Z
iptables -t nat -Z
iptables -t mangle -Z
echo " Estableciendo Politica por Defecto (ACEPTAR)"
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
echo " Redireccionamos las peticiones de www hacia Squid Proxy"
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 80 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -A FORWARD -i $INT_IN -p udp -m udp --dport 443 -j REJECT --reject-with icmp-port-unreachable #comment#Block QUIC
iptables -t nat -A PREROUTING -i $INT_OUT -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o $INT_IN -s $RANGO -j MASQUERADE
echo " Terminando la Configuracion del Firewall."

tu configuracion te funciona muy bien amigo.. ????? lo probare haber que tal .. gracias

WALYN · Noviembre 14, 2015, 01:20:59 PM

estoy haciendo prueba y todo bien hasta ahora..no me bloquea el google hasta ahora

Coliche · Noviembre 14, 2015, 07:49:32 PM

Este tema fue editado? Porque no estaba asi las configuraciones de los iptables....

joemg6 · Noviembre 15, 2015, 11:17:32 AM

Cita de: Coliche en Noviembre 14, 2015, 07:49:32 PM
Este tema fue editado? Porque no estaba asi las configuraciones de los iptables....

Se actualizaron las reglas para uniformidad con los distintos modos de implementación.

pacas · Noviembre 15, 2015, 11:47:12 AM

Saludos .. implemente esa regla discupe la pregunta... bueno.. despue de de apagar el servidor y prender no me inicializa me bloquea todo las paginas de http .cuando pongo manualmente esta regla : bash /etc/raptor/fw.sh... funciona todo bien .. como puedo automatizar.. gracias espero sus repuestas...