ネットワーク上の急流を効果的にブロックする方法は？
ネットワークポリシーに従って、ネットワークからのすべてのトレントトラフィックをブロックする必要があります。これを行うために、ファイアウォール/プロキシデバイスで1024を超えるすべてのポートをブロックするために使用していました。しかし、これが原因で、非標準ポートを使用する他の多くのアプリケーション（特にモバイルアプリケーション）が機能できなくなり、ユーザーはこのために不満を訴えています。
ネットワーク上の急流をブロックする効果的な方法はありますか？
最小数のポート、または少数の特定のポート、またはアプリケーションレベルのフィルタリング？
Cisco Iron Port SecurityおよびCisco ASA 5500 Firewallデバイスがあります。
トレントを制限する方法はいくつかあります。
- ポートのブロック：これは機能しません。p2pトラフィックはほぼすべてのポートを使用できるためです（1024未満のポートも含む）。
- 詳細な検査：トラフィックを確認し、タイプに基づいてブロックすることは非常に役立ちますが、暗号化されたトラフィックはすべて同じように見えます
- 宛先フィルタリング：これも少し役立つかもしれませんが、大きなブラックリストを維持する必要があります
ボリューム：ユーザーが大量のトラフィックをダウンロード/アップロードしている場合、調査する
グループポリシーまたは実際のポリシーを使用して、ネットワーク上のコンピューターにインストールされているアプリケーションを制御する。すべてのp2pアプリケーションを禁止し、誰かがポリシーに違反した場合、ネットワークの使用/それらの起動/それらの微調整/何でも許可しない
BitTorrentは任意のポートで実行でき、SSL内にラップできるため、ポートまたはトラフィックデータでブロックしてもどこにもアクセスできません。
私の提案は、トラッカーのアナウンスプロトコルと一致するanyポート上のHTTPトラフィックを 仕様 に従ってブロックすることです。これは、トラッカーがHTTPSで実行されている場合は機能しませんが、ほとんどの場合は機能しません。また、DHTの動作を妨げることはありませんが、それほど問題になることはほとんどありません。
さらに、トラフィックを監視して、大量のデータが1人のユーザーに転送されているかどうかを確認し、それに基づいてアクションを実行できます。
私の意見では、これは技術的な問題ではなく、ポリシーの問題です。すべてのユーザーに、BitTorrentを含むファイル共有ネットワークとシステムの使用を明示的に禁止する使用ポリシーに署名させ、人々がそのポリシーに違反した場合に適切な罰則を適用できるようにします。
私の観点からは、SSL/TLSトラフィックを含む詳細なパケット検査のみが機能します。
一般的な方法は、内部ネットワークにプロキシサーバーを配置し（SSLインスペクションを使用）、ユーザーがインターネットにアクセスできるようにし（不要なサイトやサービスをすべてブロックし）、そのようなユーザーからインターネットに直接送信されるすべてのトラフィックをブロックします。ユーザーに非標準ポート上の特定のサーバーへのアクセスを許可する必要がある場合は、明示的にそれらを許可する必要があります（IP、プロトコル、ポート/サービス）。
ユーザーがネットワークからアクセスしている非標準のサービスの種類は何ですか？