Это *очень* большой трафик на ips1.unfi-ai.com

Это *очень* большой трафик на ips1.unfi-ai.com, UniFi Network

chunkyks Guest	#1 20.03.2018 05:02:00 Недавно включил IDS на моём USG-Pro-4 после обновления до cloudkey0.10/unifi5.7.20. Он каждые пару секунд, круглосуточно, выполняет DNS-запросы к ips1.unifi-ai.com, даже когда мы все спим. В чём тут дело?

UI-Team

Guest

26.11.2018 13:57:00

@bgwwatters

Я точно не знаю, что ты пытаешься сказать, но могу гарантировать, что IPS/IDS просто не может использовать 1,1 ТБ данных, если только ты не в огромной сети с миллиардом оповещений. Если бы это было так, твой роутер просто бы упал. Единственные данные, которые отправляются в облако, — это сгенерированные оповещения и поддержка соединения. Скорее всего, именно speedtest на USG съедает весь этот трафик, а не что-то другое.

bgwwatters Guest	#3 26.11.2018 13:44:00 @UBNT-Marcus Извиняюсь, если звучит раздражённо, но сообщаю — я нашёл IDS на своём сайте. Я его отключил и за последние 48 часов не получал никаких сумасшедших предупреждений о перерасходе.

UI-Team

Guest

25.11.2018 01:25:00

@Fresnoboy, это не зависит от модели USG. Если прочитать нашу справку, можно увидеть, что мы храним данные в облаке только до тех пор, пока ваш контроллер не скачает предупреждения из нашего облака, что должно происходить в реальном времени, если у вас нет сбоя WAN. Но если такой сбой всё же произошёл, как мы и говорили, только внутренние хосты смогут вас атаковать, а как только WAN вернётся, вы снова увидите эти предупреждения. Имейте в виду, что IPS всё равно блокирует трафик, даже если у вас нет доступа к WAN.

bgwwatters

Guest

25.11.2018 00:34:00

К сожалению, я не знаю. Знаю только, что сейчас я использовал 1,1 ТБ на тарифе с ограничением в 340 ГБ через проводной фиксированный беспроводной UVerse, тогда как с точно таким же настроем на Netgear Nighthawk и ATT Wireless у меня никогда не было превышения 500 ГБ. Если только ATT Wireless не исключает из тарифа какой-то трафик — тогда не знаю. Сейчас я отключил свой USG от сети. Узнаю, когда обновится мой расчётный период, будет ли он "жрать" трафик. Также интересно услышать на форуме варианты, которые я упускаю. К тому же, у меня запущен контроллер AWS.

Fresnoboy Guest	#6 24.11.2018 23:51:00 Интересно. Даже на USG XG? Получается, если пропадёт связь на WAN, я не смогу получить доступ к логам IPS? Это явно не очень хорошо, если я пытаюсь выяснить, что могло вызвать проблему.

UI-Team

Guest

24.11.2018 23:34:00

Привет, @Fresnoboy, ничего не хранится локально на USG из-за особенностей нашего решения IPS/IDS. Подробное описание того, что собирается, есть в нашем Заявлении о конфиденциальности на странице помощи: https://help.ubnt.com/hc/en-us/articles/360006893234#5

UI-Team Guest	#8 24.11.2018 23:23:00 @bgwwatters, пожалуйста, не начинай распространять здесь дезинформацию. IPS Cloud Keepalive никогда не использовал бы 50 ГБ в день, скорее всего у тебя был включён speedtest или что-то, что потребляет много трафика.

Fresnoboy

Guest

24.11.2018 23:19:00

Маркус, на более мощной модели USG, например, Pro, она тоже будет отправлять данные на сервер разработчика или нет, ведь там можно хранить всю информацию локально? Я подумывал заменить свой мощный PFsense FW/IDS на USG из-за удобного интерфейса и интеграции. Но мне совсем не нравится идея, что мои данные о трафике будут куда-то уходить. Спасибо, Майк.

bgwwatters Guest	#10 24.11.2018 20:53:00 Я понимаю причину постоянного обмена данными с USG 3P, у меня нет никаких фильтров. Есть ли способ сделать это через curl? У меня лимитированный интернет, и пока я не отключил USG, я сжигал по 50 ГБ в день.

sebcbien

Guest

#11

20.10.2018 00:16:00

Я просто говорю, что нет никакой информации или предупреждения для пользователя о том, что при активации IDS/IPS USG будет отправлять данные в облако... Это вопрос «конфиденциальности»... То, что подключение к облаку и облачный IPS не связаны, меня не волнует.

jdaw

Guest

#12

27.10.2018 16:26:00

Изначально вас беспокоило, что данные отправляются в облако, несмотря на отключённые облачные сервисы. «Ещё один момент, который хочу затронуть: при активации IPS/IDS совершенно отсутствует информация о том, что такой объём данных и трафика отправляется в облако, даже если облачные сервисы отключены...»

Единственное, что вы можете отключить — это доступ к облаку, который не связан с облаком IPS/IDS. Поэтому важно понимать, что они не связаны, и отключение облачных сервисов никогда не приведёт к отключению IDS/IPS.

Ваша тревога в том, что при включении IDS/IPS вас не информируют о том, что IDS/IPS обрабатывает информацию через облачный сервис, что сопровождается большим количеством DNS-запросов. Чудеса, вас даже не предупреждают при установке облачного контроллера, почему он связывается с ping.ubnt.com.

UI-Team Guest	#13 25.10.2018 02:16:00 Для тех, кто ищет 120 секунд, пожалуйста, скачайте версию 4.4.32dev https://community.ui.com/questions/d1e1967c-7dfa-4ae6-913f-5f592ed42edf

UI-Team Guest	#14 22.10.2018 01:18:00 120 секунд будут включены в следующую стабильную прошивку USG. Это было изменено недавно, и в данный момент ни одна версия этого не содержит.

chunkyks

Guest

#15

22.10.2018 01:09:00

Спасибо! Конкретика по тому, что именно отправляется, очень помогает и снижает большую часть моих опасений. Сделать эту функцию по выбору пользователя, когда подписи всё равно регулярно скачиваются, но при этом можно отключить передачу данных, полностью решило бы мои другие вопросы.

Однако, мне кажется, на странице неверно указано про таймер. За последние 24 часа мой DNS-сервер зафиксировал 37081 запрос к ips1.unifi-ai.com. В сутках 86400 секунд; на странице говорится, что пинг происходит каждые 120 секунд [что звучит для меня вполне разумно], а у меня получается примерно один запрос каждые две с половиной секунды.

phk46 Guest	#16 22.10.2018 01:02:00 Я предлагаю добавить ссылку на это на странице IPS в контроллере. Также, пожалуйста, укажите источник подписей. Мне бы хотелось узнать, кто именно считает их плохими и проверить их репутацию.

chunkyks

Guest

#17

22.10.2018 01:02:00

Сами DNS-запросы — не проблема; мой DNS-сервер уже кэширует результаты, и даже если бы не кэшировал, реальный объём трафика почти нулевой. Очень частые DNS-запросы — это признак недобросовестных участников в сети, и я хочу сохранять возможность наблюдать за такими вещами. То, что USG запускает собственный DNS-сервер и кэширует результаты, не отменяет его плохое поведение; это просто скрывает проблему.

fhait

Guest

#18

21.10.2018 18:58:00

Частые DNS-запросы могут быть вызваны необычно низким временем жизни кеша в ответах DNS. Логично предположить, что если они пытаются поддерживать доступность IP-адреса, который может внезапно измениться из-за переключения высокой доступности на новый маршрут, то они настроили ответ DNS так, чтобы он быстро устаревал. Возможно, вы сможете немного подкорректировать приложение на Raspberry Pi, чтобы помочь в этом. = F

UI-Team Guest	#19 20.10.2018 00:29:00 Мы обновили нашу справку https://help.ubnt.com/hc/en-us/articles/360006893234#5 Объяснили это и добавим опцию Opt In в будущей версии контроллера. Надеюсь, это развеет ваши сомнения.

tangobravoyankee Guest	#20 19.10.2018 21:41:00 Да, это сработает. Локальные запросы будут обрабатываться в том порядке, в котором записи появляются в /etc/resolv.conf, и отправляться на 127.0.0.1. dnsmasq будет брать адреса серверов для пересылки из /etc/resolv.conf и игнорировать запись 127.0.0.1. Я понимаю, что это не решит все вопросы, поднятые в этой ветке, но значительно сократит количество пересылаемых DNS-запросов.

Читают тему (гостей: 1)