Akademik Bilişim '10 10 - 12 Şubat 2010 Muğla

Kampüs Ağlarında Etkin Bant Genişliği Yönetimi ÖnerileriEnis Karaarslan, Vedat Fetah, Gökhan Akın, Sınmaz Ketencilarında kullanılmaktadır. Yerel alan ağlarındapek tercih edilen bir bant genişliği yönetimsistemi değildir.Şekil 1. Trafik Şekilleme5.2. Trafik DenetimiTrafik denetimi (Traffic Policing) tekniğinde,belirlenen bant genişliği miktarının üstündekitrafik ya çöpe atılır (drop) ya da bu trafiğin IPpaket başlığında bulunan ToS kısmındaki paketönceliğini belirleyen sayı değerleri değiştirilir.Trafik sınırlandırılması tekniği uygulandığındatrafiğin değişimi Şekil 2’de gösterilmiştir [3].Şekil 2. Trafik DenetimiBu sayede düşük öncelikli olarak belirlenmişbu trafik, çıkış yönlendiricisi tarafından bantgenişliği yönetimi amaçlı bir işleme tabi tutulabilir.Bu teknikte tampon bellek kullanılmadığıiçin paket kaybı daha fazladır. Ancak gecikmeve hafıza ihtiyacı daha azdır.6. UygulamalarUygulamalar, eğer kurumun altyapısı destekliyorsaana omurga cihazlarında yapılabileceğigibi, bu işi yapmak için bir güvenlik duvarıgibi ayrı bir cihaz üzerinde de gerçekleştirilebilir.Bu bildiride aşağıdaki uygulamalardanörnekler verilmiştir:• Açık kaynak yazılım - PFSENSE uygulaması• Cisco L3 cihazlarda (yönlendirici yeteneğindeki)uygulama örnekleri4726.1. PFSENSE UygulamasıPFSENSE, arayüzü oldukça basit tasarlanmışve kullanımı kolay bir dağıtımdır. Bu dağıtımın2.0 Alpha Alpha versiyonu ile birlikte L7seviyesinde Qos ve paket filtreleme yapılabilmektedir.Önceki sürümlerinde sadece snort vesquid kullanılarak bandgenişliği kontrolü sağlanırken,yeni sürümü ile birlikte trafik şekillendirmeözelliği güçlendirilmiştir. Uygulamaseviyesinde bir çok uygulamanın imzası kendiiçerisinde olduğu için ekstra bir çabaya gerekyoktur. Bunun yanı sıra, var olan imzalar dışındaherhangi bir uygulama için de paket yüklenmesive imzanın tanıtılması mümkündür.Pfsense kurulumunuzu bitirdikten sonra birçokdeğişikliği web arayüzünden yapabilirsiniz.L7 seviyesinde firewall olarak çalışan birkaç dağıtımdaha vardır. Bunları sayacak olursak IPCopFirewall, OpenBSD PF, ebtables ve BandwidthArbitary gibi yazılımlar listelenebilir. Pfsensedağıtımının bu dağıtımlar arasından ön plana çıkarantemel özellikleri aşağıdaki gibidir:• L7 filtrelemede uygulama imzası girebilirve bu sayede dağıtımın desteklemediğiuygulamalar için de paket filtreleme özelliğinikullanır.• Grafik arayüzünün basitliği sayesindekullanıcı isterse ekstra modüller kurabilir.Kurulabilecek modüller arasında IDS, AntivirusGateway, Squid Proxy, ntop, trafficshaping ve Vpn gibi açık kaynak yazılımlarısayılabilir.• Kurulan modüller web arayüzünden aktiveya da deaktive edilebilir,• Yüksek boyutlu disklere kurulumu sırasındadiski görmeme gibi sorunlar yaşanmaz,• Diğer Linux dağıtımlarındaki gibi kurulumsırasında grafik kartının tanınmaması gibibir sorun ile uğraşmak zorunda kalınmaz,• Vlan desteği vardır.• Birden fazla Wan ve Lan arayüzünüdestekler.• NAT, CARP, Load Balance, Packet Captureve Bogon networkleri tanıma özellikleriayrıca bulunmaktadır.Pfsense özelleştirilmiş bir FreeBsd dağıtımıdır.Ana özellikler firewall ve router olarak çalışmaküzere tasarlanmıştır. Pfsense, yüksek throughputsenaryoları düşünülerek (500 Mbps) tasarlanmışbir dağıtımdır. Bu hızlarda çalışabilmesiiçin kullanacağınız yüksek kapasiteli birdonanım mimarisi kullanmanız gerekmektedir.L7 filtreleme yapabilmek için öncelikli olarakuygulama olarak ipfw-classifyd konusundabilgi vermemiz gerekmektedir. Bu uygulamanınneler yapabileceğine göz atacak olursak:• Gelen trafik için bloklama kuralıoluşturabilir,• Gelen ip paketleri veya belirlenen akışlartraffic shaper sayesinde AltQ kuyruğunaatılır.Bir L7 kuralı oluşturulduğu zaman bu işleminsonunda pf otomatik olarak ipfw-classifyd ilearka planda kuyruğa atma işlemi için gereklikuralları oluşturur. Burada dikkat edilmesigereken husus, ipfw-classifyd uygulamasınınsadece TCP ve UDP packetleri desteklemesidir.Bu yüzden işlemlerin yapılacağı paketlerinprotokolleri çok önemlidir. Pfsense kutusundabu kuralların nasıl kolaylıkla yazıldığı Resim1’de gösterilmiştir.Resim 1. Traffic Shaper: L7 Kural Yazma AlanıBelirlenen protokollere göre yapılacak işlemlerdeprotokolün bloklanması dışında “Limiter”sekmesinde belirli bir limit dahilinde çalışmasısağlanabilir. Yani “video streaming” işlemi içinAkademik Bilişim’10 - XII. Akademik Bilişim Konferansı Bildirileri10 - 12 Şubat 2010 Muğla Üniversitesi473verilecek değerin üzerine çıkılması durumundaişlemin kuyruğa atılması özelliği de kullanılabilir.Bu işlemleri tanımladıktan sonra firewalltablosunda kural yazabileceğimiz alanda nasılözellikler kullanabileceğimizi Resim2 ‘de dahanet görebiliriz.Resim 2. Firewall kural yazım alanıResim 2’de görülebileceği üzere güvenlik duvarındayazılması gereken kurala atayabileceğinizL7 kuralı ve kuyruk işlemleri görülmektedir.Bloklama işlemi yapılabildiği gibi kuyruğaatma işlemi de gerçekleşebilmektedir.Resim 3. Trafik şekillendirme sihirbazı uygulamasıYukarıda belirlenen şekilde protokoller hakkındaişlem yapılacağı gibi pfsense’in kendiüzerinde bulunan sihirbazlar sayesinde belirlibazı protokol gruplar için de özel yaptırımlaruygulanabilir. Resim 3’de trafik şekillendirmesihirbazı gösterilmiştir.Bu sihirbaz kullanılarak, p2p uygulamalar içinatanacak bant genişliği belirlenebilir, bazı p2puygulamalarını bu gruptan çıkarılabilir veya