Parte 2. QUIC: El protocolo que pone en riesgo nuestras redes

Caso 2 QUIC

Ahora bien, en la imagen 8 se puede ver el tráfico Quic (cuando el usuario final utiliza su navegador Google Chrome y QUIC está habilitado), que sigue utilizando el puerto 443 pero ya no se registra TCP sino UDP.

Acá inician los problemas, en este punto dependiendo del dispositivo de seguridad o NAT, el tráfico no va a ser gestionado apropiadamente por el módulo de Web Filtering, es posible que no sea categorizado correctamente, etc. y el usuario final pueda saltar las políticas implementadas o incluso ese tráfico no aparezca en los reportes.

¿Cómo resolvemos los problemas con QUIC?

La sugerencia, mientras este protocolo sea experimental, es bloquearlo. La buena noticia es que tenemos tres formas de bloquear este tráfico en nuestra red:

Deshabilitar QUIC en Google Chrome
Bloquear aplicaciones tipo QUIC en el firewall
Bloquear el protocolo QUIC en las reglas del firewall

Recuerden que al bloquear QUIC no están bloqueando la aplicación, el URL o el navegador. Cuando bloqueamos QUIC, el navegador o la aplicación que utiliza QUIC hace el cambio a HTTP - HTTPS sobre TCP y todos los accesos permanecen igual, nada se bloquea, a menos por supuesto que exista una regla en el firewall que al detectar un URL específico o categoría la bloquee.

El fin de estos pasos es evitar que el tráfico QUIC salte las políticas y podamos gestionar el tráfico HTTP - HTTPS sobre TCP correctamente.

Deshabilitar QUIC en Google Chrome

Si no son muchos los endpoints que debes asegurar en tu red, una rápida opción es deshabilitar el protocolo en el navegador:

Abre tu navegador Google Chrome
En la barra de direcciones escribe chrome://flags/ (enter)
En el campo de búsqueda escribe “QUIC” (enter)
Selecciona la opción “Deshabilitado”
Relaunch

Bloquear protocolo QUIC (aplicación) en el Firewall

Utilizando el control de aplicaciones web del firewall, podemos bloquear este protocolo de red.

Crea un filtro de aplicaciones web y selecciona QUIC

Luego agrega este filtro en la regla del firewall que tengas asignada a ese grupo de usuarios, computadoras o mac address

Y como muestra a continuación la imagen 12, el tráfico QUIC de cualquier aplicación web será bloqueada. Una vez más lo aclaro, esto no quiere decir que no van a poder utilizar la aplicación, lo que sucederá es que con este paso la aplicación hará el cambio de UDP a TCP automáticamente y el tráfico pasará a través del firewall como de costumbre, permitiendo su correcta gestión.

Bloquear el protocolo QUIC en la regla del firewall

La tercera opción que tenemos para evitar el tráfico QUIC es bloquearlo en la regla del firewall. Esta opción es muy sencilla, crea una regla de firewall y marca el checkbox “Bloquear Google QUIC”.

Conclusión

Bloquea a QUIC.

Fuente:

SOPHOS

https://community.sophos.com/kb/en-us/127719#How%20to%20block%20QUIC%20Protocol%20with%20Firewall%20Rules

https://docs.sophos.com/nsg/sophos-firewall/v17.0.0/PDF/How%20to%20Block%20Google%20QUIC%20Protocol.pdf

WIKIPEDIA

https://en.wikipedia.org/wiki/QUIC

PROYECTOS CHROMIUM

https://www.chromium.org/quic

CLOUDFLARE

https://blog.cloudflare.com/the-road-to-quic/