禁止BT下載的方法方法1:封鎖BT端口
大家都知道如果要限制某項服務(wù),就要在路由器上設置ACL(訪(fǎng)問(wèn)控制列表)將該服務(wù)所用的端口封掉,從而阻止該服務(wù)的正常運行.對BT軟件,我們可以嘗試封它的端口.一般情況下,BT軟件使用的是6880-6890端口,小金在公司的核心路由器上使用以下命令將6880-6890端口全部封鎖.
access-list 101 deny tcp any any range 6880 6890
access-list 101 deny tcp any range 6880 6890
access-list 101 permit ip any any
接著(zhù)進(jìn)入相應的端口,輸入ip access-group 101 out 使訪(fǎng)問(wèn)控制列表生效.配置之后,網(wǎng)絡(luò )帶寬就會(huì )馬上釋放出來(lái),網(wǎng)絡(luò )速度得到提升.
但是,沒(méi)過(guò)幾天網(wǎng)絡(luò )速度又減慢了,BT軟件的端口明明被封了,什么軟件還在占用大量的帶寬呢,小金使用SNIFFER檢測到幾個(gè)不常用的端口的數據流量非常大,原來(lái)很多人使用第三方的BT軟件(如比特精靈,BITCOMET)進(jìn)行下載,這些軟件可以自定義 傳輸數據的端口,修改為沒(méi)有被封的端口后又可以進(jìn)行BT下載了.
(缺點(diǎn):由于BT端口變化較大,所以用ACL封端口收效甚微,而且配置條數多執行起來(lái)比較費勁,另外大量的ACL也占用了路由器的CPU資源,影響了其它服務(wù).
優(yōu)點(diǎn):利用訪(fǎng)問(wèn)控制列表ACL封鎖BT比較好管理,配置起來(lái)也很容易,使用相對而言比較靈活.通過(guò)ACL可以有效非常有效封鎖官方BT軟件)
方法2:封鎖BT服務(wù)器
既然無(wú)法有效的從本地端口進(jìn)行封鎖,那么只好從遠程目標的地址入手.在進(jìn)行BT下載時(shí),本機首先要連接遠端的BT服務(wù)器,從服務(wù)器下載種子列表再連接相應的種子,所以小金從各大BT論壇下載BT種子,以便獲得BT服務(wù)器的地址.啟動(dòng)BITCOMET后選擇 服務(wù)器列表,在TRACKER服務(wù)器處可以看到BT服務(wù)器的地址,如(bt.ydy.com)接著(zhù)通過(guò)NUSLOOKUP或者PING命令可以得到服務(wù)器地址為202.103.X.X
獲得服務(wù)器地址后就可以到核心服務(wù)器上對該地址進(jìn)行封鎖.具體命令為:access-list 102 deny tcp any 202.103.9.83 0.0.0.0
最后小金在網(wǎng)絡(luò )出口端口上運行ip access-group 102 out 命令后,使該訪(fǎng)問(wèn)控制列表生效,這樣網(wǎng)內用戶(hù)就不能訪(fǎng)問(wèn)這個(gè)BT服務(wù)器了,同時(shí)該服務(wù)器提供的所有BT種子都無(wú)法使用,接下來(lái),收信更多的的BT服務(wù)器的IP地址,將它們一一添加到控制列表102里,看著(zhù)員工啟動(dòng)第三方的BT軟件后連接種子數為0,下載速 度也為0的時(shí)候,終于松了一口氣.
沒(méi)過(guò)多久,公司再次出現網(wǎng)絡(luò )運行緩慢的問(wèn)題,小金通過(guò)監控系統發(fā)現又有人通過(guò)BITCOMET下載電影,雖然速度不如從前,但仍占用了相當大的帶寬,是什么原因使用戶(hù)又可以連接BT服務(wù)器呢,原來(lái),在訪(fǎng)問(wèn)列表中使用的IP地址進(jìn)行過(guò)濾,而一旦BT服務(wù)器的 IP地址發(fā)生了變化,針對IP地址的封鎖就沒(méi)有用了.
(缺點(diǎn):BT服務(wù)器很多,要找到每個(gè)服務(wù)器的IP地址然后進(jìn)行封鎖非常麻煩,而且也容易漏掉某些服務(wù)器,訪(fǎng)問(wèn)控制列表只能封鎖IP地址不能封鎖域名,對于IP地址經(jīng)常變化的BT服務(wù)器來(lái)說(shuō),封鎖是比較煩的.
優(yōu)點(diǎn):該方法能有效的封鎖大批的BT服務(wù)器,網(wǎng)管通過(guò)簡(jiǎn)單的管理服務(wù)器IP地址就能封鎖禁止BT軟件的使用,對于自定義端口的BT軟件起到了非常有效的封鎖作用)
方法3:加載PDLM模塊
使用CISCO公司出品的PDLM模塊可以省去我們配置路由策略的工作,封鎖效果非常好.上文介紹的兩種方法.一個(gè)是對數據包使用的端口進(jìn)行封鎖,一個(gè)是對數據包的目的地址進(jìn)行封鎖,雖然在一定范圍內有效,但不能起到全面禁止BT的作用,通過(guò)PDLM+N BAR的方法來(lái)封鎖BT就存在這個(gè)問(wèn)題了.
CISCO在其官方網(wǎng)站提供了三個(gè)PDLM模塊,分別為KAZAA2.pdlm,bittorrent.pdlm.emonkey.pdlm可以用來(lái)封鎖KAZAA,BT,電驢,在此我們就封鎖BT下載為例,
建立一個(gè)TFTP站點(diǎn),將bittorrent.pdlm復制到該站點(diǎn),在核心路由器中使用ip nbar pdlm tftp://TFTP站點(diǎn)的IP/bittorrent.pdlm命令加載bittorrent.pdlm模塊
接下來(lái)設置路器策略,具體命令如下:
class-map match-any bit
//創(chuàng )建一個(gè)CLASS_MAP名為BIT
match protocol bittorrent
//要求符合模塊bittorrent的標準!
policy-map limit-bit
//創(chuàng )建一個(gè)POLICY-MAP名為L(cháng)IMIT-BIT
class bit
//要求符合剛才定義的名為BIT的CLASS-MAP
drop
//如果符合則丟數據包!
interface gigabitEthernet0/2
//進(jìn)入網(wǎng)絡(luò )出口那個(gè)接口
service-policy input limit-bit
//當有數據包進(jìn)入時(shí)啟用LIMIT-BIT路由策略
service-policy output limit-bit
//當有數據包出的時(shí)候啟用LIMIT-BIT路由策略
如果不想每次啟動(dòng)路由器的都要手工加載TFTP上的bittorrent.pdlm,可以把這個(gè)PDLM文件上傳到路由器的FLASH中,然后選擇TFTP服務(wù)器的IP地址即可.提示:封鎖KAZAA或者是EDonKEY時(shí),在路由器配置中將"match protocol后的bittorrent替換為KAZAA2或者EDonKEY即可,其它配置和封鎖BT一樣,通過(guò)NBAR加載PDLM模塊法封鎖BT軟件后,小金已經(jīng)完全斷絕了公司內部的的BT使用,所有員工都能安心工作,網(wǎng)絡(luò )速度也恢復到以前的穩定值了.
(缺點(diǎn):該方法配置起來(lái)相對麻煩,指令非常多,而且路由器每次啟動(dòng)都要重新指定PDLM文件,如果將PDLM文件上傳到路由器的FLASH中又會(huì )占用不少空間,通過(guò)路由策略進(jìn)行封鎖BT軟件的同時(shí)也會(huì )占用路由器大量的CPU與內存的資源,影響了數據包的傳輸速度.
優(yōu)點(diǎn):通過(guò)該方法可以徹底封鎖BT下載)
