NethServer Documentation

26.2.3 Deep Packet Inspection (DPI)
Deep Packet Inspection (DPI)
1
is an advanced packet filtering technique.
When the DPI module is active, new items for the Service field are available in the Edit rule form. Those items are
labeled DPI protocol, among the usual network service and service object items.
The DPI module uses the
nDPI library
which can identify around 250 types of network traffic split in network protocols
(eg. OpenVPN, DNS) and web applications (eg. Netflix, Spotify).
Firewall rules using DPI services are generated inside the mangle table, for this reason such rules have some limita-
tions:
• reject action is not supported, use drop to block traffic
• any and firewall can’t be used as source or destination
• route to provider X action is not supported: the identification of the protocol often begins after the connection
has been already established, so routing decision can’t be changed
Even if DPI can identify traffic to/from specific web sites such as Facebook, it is better suited to block or shape
protocols like VPN, FTP, etc. Web site access should be regulated using
Web proxy
.
Note that some DPI protocols (such as Amazon) can match large
CDNs
, so please do not block such protocols using
DPI rules unless you want to prevent access to thousands of sites.
DPI markers are automatically applied also to the traffic which originates from the firewall itself, like HTTP traffic
from the web proxy.
The complete list of DPI protocols, along with counters for matched traffic, is available inside the DPI page under the
Status
category on the left menu.
26.2.4 Examples
Below there are some examples of rules.
Block all DNS traffic from the LAN to the Internet:
• Action: REJECT
• Source: green
• Destination: red
• Service: DNS (UDP port 53)
Allow guest’s network to access all the services listening on Server1:
• Action: ACCEPT
• Source: blue
1
Deep Packet Inspection
https://en.wikipedia.org/wiki/Deep_packet_inspection