Iptables и филтрация на трафика от бедни и мързеливи инако-мислещи.

Значението на блокирането на достъпа до забранени ресурси засяга всеки администратор, който може да бъде официално обвинен в неизпълнение на закона или разпорежданията на съответните органи.

Защо да измисляме велосипеда, когато съществуват специализирани програми и дистрибуции за нашите задачи, например: Zeroshell, pfSense, ClearOS.

Още един въпрос от ръководството: Има ли сертификация за безопасност на използвания продукт от нашата държава?

Имаме опит с посочените дистрибуции:

• Zeroshell — разработчиците дори предоставиха лиценз за 2 години, но се оказа, че интересният за нас дистрибуция нелогично изпълнява критична функция за нас;
• pfSense — уважение и почит, но е скучно, привикването към командния ред на фаеролa FreeBSD не е достатъчно удобно за нас (мисля, че е въпрос на навик, но това не се оказа "правилният път");
• ClearOS — на нашето оборудване се оказа много бавно, не успяхме да стигнем до сериозно тестване, така че каква е целта на такива тежки интерфейси?
• Ideco SELECTA. Продуктът "Айдеко" е отделна тема, интересен продукт, но по политически причини не е за нас; искам също да ги питам относно лиценза за същия Linux, Roundcube и т.н. Откъде те решиха, че "налягането" на интерфейса и отнемането на правата на суперпотребител могат да продават завършен продукт, съставен от разработени и подобрени модули на интернет общността, разпространявани под GPL&и т.н. Python Разбирам, че в моя посока ще започнат негативни коментари с искания да обосновя подробно своите субективни усещания, но искам да кажа, че този мрежов узел също е балансировчик на трафик към 4 външни канала към интернет, като всеки канал има свои особености. Друг важен момент беше необходимостта един от няколко мрежови интерфейса да работи в различни адресни пространства, и аз

съм готов да призная, че използването на VLAN навсякъде, където е необходимо и където не е, не съм готов. В употреба имам устройства от типа TP-Link TL-R480T+ — те не се държат идеално, имат своите нюанси. Тази част успяхме да настроим разумно благодарение на официалния сайт на Ubuntu. IP-балансировка: обединяваме няколко интернет канала в един.. В употребление са устройства от типа TP-Link TL-R480T+ — проявяват се не съвсем перфектно, с определени нюанси. Тази част на Linux успях да настроя разумно благодарение на официалния сайт на Ubuntu. IP Балансировка: обединяваме няколко интернет канала в един.. Все канали могат да „паднат“ във всеки момент, както и да се повишат. Ако се интересувате от скрипт, който работи в момента (това е тема за отделна публикация) — пишете в коментарите.

Дискутиратото решение не претендира за уникалност, но искам да задам въпроса: „Защо на предприятието да се адаптира към съмнителни продукти с сериозни хардуерни изисквания, когато може да се разгледа алтернативен вариант?“.

Ако в Русия има списък на Роскомнадзор, в Украйна — приложение към Решението на Съвета по национална сигурност (напр. ето), то и на място ръководителите не спят. Например, получихме списък на забранени сайтове, които според ръководството влошават производителността на труда на работното място.

Обсъждайки с колеги от други предприятия, където автоматично са забранени всички сайтове и само по искане с разрешение на шефа може да се получи достъп до конкретен сайт, с уважителна усмивка, помислихме и „поразсъждавайки над проблема“ достигнахме до разбирането, че животът все пак е хубав и започнахме нашето търсене.

Имайки възможността не само аналитично да погледнем какво пишат в „книгите на домакините“ за филтрирането на трафика, но и да видим какво се случва на каналите на различни доставчици, забелязахме следните рецепти (всички скрийншоти са леко нарязани, моля да разберете):

Доставчик 1
— не се притеснява и налага собствените си DNS сървъри и прозрачен прокси-сървър. Ами какво?... Затова имаме достъп до там, където трябва (ако ни е нужно :))

Доставчик 2
— смята, че неговият горен доставчик трябва да мисли за това, техническата поддръжка на горния доставчик дори призна, защо не мога да отворя необходимия ми незабранен сайт. Мисля, че картинката ще ви разсмива 🙂

Както се оказа, те преобразуват имената на забранените сайтове в IP адреси и блокират именно IP (не ги притеснява, че на този IP адрес може да се хостват и 20 сайта).

Доставчик 3
— пропуска трафика натам, но не позволява обратния маршрут.

Доставчик 4
— забранява всички манипулации с пакетите в указаната посока.

Какво да направим с VPN (браузъра Opera уважение) и плъгините за браузъри? В началото, играейки с узловия Mikrotik, дори разработихме ресурсно-интензивна рецепта на L7, от която по-късно трябваше да се откажем (забранените имена могат да бъдат повече, тъжно е, когато освен пряките си задължения по маршрути, при 30-те израза натоварването на процесора PPC460GT достига 100%).

.

Какво стана ясно:
DNS на 127.0.0.1 не е панацея, съвременните версии на браузърите наистина позволяват да се заобикалят подобни проблеми. Не може да ограничите всички потребители с ограничени права, и не трябва да се забравя за огромното количество алтернативни DNS. Интернет не е статичен, и освен новите DNS адреси, забранените сайтове купуват нови адреси, променят домейните от най-високо ниво, могат да добавят/изтриват символ в адреса си. Но все пак има право да живее нещо такова:

ip route add blackhole 1.2.3.4

Би било напълно ефективно да се получи списък с IP адреси от списъка със забранени сайтове, но по гореспоменатите причини преминахме към разискванията за Iptables. Вече съществуваше работещ балансировчик на CentOS Linux release 7.5.1804.

Интернетът на потребителя трябва да бъде бърз, а браузърът не би трябвало да чака половин минута, заключавайки, че страницата не е достъпна. След дълго търсене стигнахме до следната модел:
Файл 1 -> /script/denied_host, списък със забранени имена:

test.test
blablabla.bubu
torrent
porno

Файл 2 -> /script/denied_range, списък със забранени адресни пространства и адреси:

192.168.111.0/24
241.242.0.0/16

Файл-скрипт 3 -> ipt.sh, извършващ работа с iptables:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

Използването на sudo се дължи на факта, че имаме малък хак за управление през WEB интерфейс, но опитът от използването на този модел за повече от година показа, че WEB не е особено нужен. След внедряването имаше желание да се заведе списък с сайтове в БД и т.н. Броят на блокираните хостове е над 250 + десетина адресни пространства. В действителност има проблем при прехода към сайт чрез HTTPS връзка, като системен администратор имам претенции към браузърите :), но това са частни случаи, повечето задействия за отсъствие на достъп до ресурса всъщност са от наша страна, също така успешно блокираме Opera VPN, плъгини като friGate и телеметрия от Microsoft.

Източник: habr.com