Iptables və kasıb və laqeyd fərqli fikirli insanlardan trafik filtrasyonu

Qadağan olunmuş resurslara girişi bloklamağın aktuallığı, müvafiq orqanların qanunlarını və ya təsdiqlərini yerinə yetirməkdə şübhə doğuran hər bir admini narahat edir.

Niyə velosipedi yenidən icad edək ki, bizim işlərimiz üçün ixtisaslaşmış proqramlar və paylamalar var, məsələn: Zeroshell, pfSense, ClearOS.

Başçılıq tərəfindən başqa bir sual ortaya çıxdı: İstifadə olunan məhsulun dövlətimizin təhlükəsizlik sertifikatı varmı?

Biz sadalanan paylamalar ilə iş təcrübəsinə malik idik:

• Zeroshell — inkişaf etdiricilər, 2 illik lisenziya bağışladılar, lakin bu paylama bizim üçün kritik olan funksiyanı məntiqsiz şəkildə yerinə yetirdi;
• pfSense — hörmət və ehtiram, eyni zamanda sıxıcıdır, FreeBSD firewall-ın komandalarına alışmaq və bizim üçün kifayət qədər rahat deyil (bu vərdiş məsələsi olsa da, görünür, bu «doğru yol» deyil);
• ClearOS — bizim avadanlığımızda çox yavaş çalışdı, ciddi testlərə çata bilmədik, bəs niyə belə ağır interfeyslər lazımdır?
• Ideco SELECTA. «Aideco» məhsulu ayrıca bir mövzudur, maraqlı məhsuldur, lakin siyasi səbəblərə görə bizim üçün deyil, eyni zamanda Linux, Roundcube və s. üzərində lisenziya ilə bağlı onlardan «dişləmək» istəyirik, nə üçün onlar «interfeysi düzəldərək» Python və super istifadəçi hüquqlarını əldən alaraq tamamlanmış bir məhsul təqdim edə bilərlər ki, bu da internet icması tərəfindən GPL&etc. ilə yayımlanmış modullardan ibarətdir.

Anlayıram ki, hazırda mənə qarşı mənfi reaksiya yağacaq və öz subyektiv hisslərimi ətraflı izah etməyimi tələb edəcəklər, amma demək istərdim ki, bu şəbəkə düyünü eyni zamanda 4 xarici kanal üzrə trafik balanslayıcısıdır, hər kanalın öz xüsusiyyətləri var. Eyni zamanda, bir neçə şəbəkə interfeysinin fərqli adres sahələrində işləməsi də bir muxtar daş olmuşdur, və mən hazıram etiraf etməyə ki, VLAN-ları hər yerdə tətbiq etməyə hazır deyiləm . TP-Link TL-R480T+ kimi cihazlar var — mükəmməl davranmır, fərqli çətinlikləri var. Bu hissəni Linux-da düzgün qurmaq mümkün oldu, bunu official Ubuntu saytına borcluyam.IP-Balanlaşdırma: bir neçə İnternet kanalını birinə birləşdiririk. . Hər kanal hər an «çökmə» vəziyyətinə gələ bilər, eyni zamanda bərpa oluna bilər. Əgər hazırda işləyən skript maraqlandırırsa (bunu ayrıca bir dərc etmək lazımdır) — şərhlərdə qeyd edin.Müzakirə olunan həll unikallıq iddiasında deyil, amma sual vermək istəyirəm: «Niyə müəssisədə qeyri-müəyyən məhsullara ciddi avadanlıq tələbləri ilə uyğunlaşmalıyıq ki, alternativ variantı nəzərə ala bilərik?».

Рассматриваемое решение не претендует на уникальность, но хочется задать вопрос: «А зачем на предприятии приспосабливаться под сторонние сомнительные продукты с серьезными аппаратными требованиями когда можно рассмотреть альтернативный вариант?».

Rusiyada Roskomnadzorun siyahısı varsa, Ukraynada isə Milli Təhlükəsizlik Şurasının Qərarına əlavə var (məsələn, işte), o zaman yerli rəhbərlər də öz işlərini görmür. Məsələn, bizə iş yerində əmək məhsuldarlığını azaldan saytlara dair qadağa siyahısı təqdim edildi.

Digər müəssisələrdə həmkarlarımızla ünsiyyət quranda, burada avtomatik olaraq bütün saytlara qadağa qoyulub və yalnız rəhbərlik tərəfindən icazə alındıqdan sonra spesifik saytlar əldə oluna bilir. Kiçik bir gülüşlə düşündükdə və "problemi bir az düşünərək" həyatın yenə də gözəl olduğunu başa düşdük və axtarışımıza başladıq.

Müxtəlif provayderlərin kanallarında nələrin getdiyini izləmək və "evdəki qadınların kitablarında" trafik filtrasiyası haqqında yazılanlara analitik olaraq baxmaq imkanı əldə etdik, aşağıdakı reseptləri qeyd etdik (hər hansı ekran görüntüsü bir qədər kəsilərək təqdim olunur, anlayışla qarşılayın):

Provayder 1
— öz DNS serverlərini və şəffaf proxy serverini tətbiq edir. Nə olsun?.. amma bizə lazım olan yerə (əgər lazım olarsa :)) daxil olma imkanı verilir.

Provayder 2
— yuxarı provayderin bu məsələlərlə maraqlanmalı olduğunu düşünür, yuxarı provayderin texniki dəstəyi isə niyə lazım olan qadağası olmayan saytı aça bilmədiyimi etiraf etdi. Şəkil sizi güldürəcək düşünürəm 🙂

Məlum oldu ki, qadağan olunmuş saytların adlarını IP adreslərinə çevirirlər və yalnız IP-ləri bloklayırlar (bu IP-də 20-dən çox saytın yerləşməsi onları narahat etmir).

Provayder 3
— trafik burada keçsə də, geri marşrutla keçməyə icazə verilmir.

Provayder 4
— göstərilən istiqamətdə paketlərlə hər hansı manipulyasiyaya qadağa qoyur.

VP-N ilə (Opera brauzerinə hörmət) və brauzer üçün plaginlərlə nə etmək olar? Mikrotik üzərində oynamağa başlayanda, hətta L7 ilə resurs çəkici bir reseptimiz oldu, amma sonradan bundan imtina etməli olduq (qadağan olunmuş adların sayının daha da çox olması mümkündür, 30-dan çox ifadə ilə marşrutlardakı birbaşa vəzifələrimdənkənar CPU yükü PPC460GT-in 100%-ə qalxması acınacaqlıdır).

.

Nə başa düşüldü:
127.0.0.1 DNS tam bir panaseya deyil, müasir brauzer versiyaları bu cür problemləri aşmağa imkan verir. Bütün istifadəçiləri məhdud hüquqla məhdudlaşdırmaq mümkün deyil, və alternativ DNS-lərin çox olduğunu unutmaq olmaz. İnternet statik deyil, və yeni DNS adreslərinə əlavə olaraq, qadağan olunmuş saytlar yeni adreslər alır, üst domainlərini dəyişir, adreslərində simvolla əlavə edib/silirlər. Ancaq buna baxmayaraq, belə bir şey:

ip route add blackhole 1.2.3.4

Qadağan olunmuş saytların siyahısından IP adreslərinin alınması kifayət qədər effektiv olardı, amma yuxarıdakı səbəblərə görə iptables məsələlərinə keçdik. Zatən CentOS Linux release 7.5.1804 üzərində işləyən balanslaşdırıcı mövcud idi.

İnterneti istifadəçidə sürətli olmalıdır, browser isə bu səhifənin mövcud olmadığını düşünərək əlli saniyə gözləməməlidir. Uzun axtarışlardan sonra belə bir modelə gəldik:
Fayl 1 -> /script/denied_host, qadağan olunmuş adlar siyahısı:

test.test
blablabla.bubu
torrent
porno

Fayl 2 -> /script/denied_range, qadağan olunmuş ünvan aralığı və ünvanlar:

192.168.111.0/24
241.242.0.0/16

Fayl-skripti 3 -> ipt.sh, ipables ilə işləyən:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

Sudo-nun tətbiqi, veb interfeys vasitəsilə idarəetmə üçün kiçik bir hackimiz olduğu ilə əlaqədardır, lakin bir ildən artıqdır bu modelin istifadəsi təcrübələri göstərdi ki, VEB o qədər də lazım deyil. İnkisafdan sonra, saytların siyahısını verilənlər bazasında saxlamaq üçün arzu var idi və s. Qadağan olunmuş hostların sayı 250-dən çoxdur + bir neçə ünvan aralığı. Həqiqətən, https bağlantısı ilə saytın keçidində problem var, amma sistem administratoru olaraq, browserlərə qarşı şikayətlərim var :), lakin bunlar xüsusi hallardır, resursa girişin olmaması halları əksəriyyətdə bizim tərəfdədir, Opera VPN, friGate tipli plaginlər və Microsoft-dan telemetriya da uğurla bloklanılır.

Mənbə: habr.com