Iptables и филтриране на трафика от бедни и мързеливи инакомислещи

Актуалността на блокиране на посещения на забранени ресурси засяга всеки администратор, на когото могат официално да бъдат повдигнати обвинения за неизпълнение на закона или разпореждане от съответните органи.

Защо да изобретяваме колелото отново, когато вече има специализирани програми и дистрибуции за нашите задачи, например: Zeroshell, pfSense, ClearOS.

Още един въпрос възникна у ръководството: Има ли на използвания продукт сертификат за безопасност от нашата държава?

Имахме опит с посочените дистрибуции:

• Zeroshell - разработчиците дори предоставиха лиценз за 2 години, но се оказа, че интересната за нас дистрибуция нелогично изпълнява критична функция за нас;
• pfSense - уважение и почит, но едновременно скучно, свикване с командния ред на фаервола FreeBSD и недостатъчно удобно за нас (мисля, че е въпрос на навик, но това не се оказа "правилният път");
• ClearOS - на нашето оборудване се оказа много бавно, не успяхме да стигнем до сериозно тестване, защо да имаме такива тежки интерфейси?
• Ideco SELECTA. За продукта „Айдеко“ е отделен разговор, интересен продукт, но по политически причини не за нас, а искам да ги попитам за лицензите за същия линукс, Roundcube и т.н. Как си мислят, че "разработвайки" интерфейс в Python и отнемайки правата на суперпотребителя, могат да продават завършен продукт, съставен от разработени и подобрени модули от интернет общността, разпространявани по GPL&и т.н.

Разбирам, че сега ще получа негативни коментари с искания да обоснова своите субективни усещания, но искам да кажа, че този мрежов възел също е балансировчик на трафик за 4 външни канала към интернет, като всеки канал има свои особености. Освен това, основен камък стана необходимостта един от няколко мрежови интерфейса да функционира в различни адресни пространства, и аз съм готов да призная, че не съм готов да прилагам VLAN навсякъде, където е необходимо и където не е. В употреба има устройства от типа TP-Link TL-R480T+ - не работят идеално, обикновено с някои нюанси. Тази част на Linux успяхме разумно да настроим благодарение на официалния сайт на Ubuntu.IP-Балансировка: обединяваме няколко интернет канала в един. IP Балансиране: обединяваме няколко интернет канала в един. Важно е, че всеки от каналите може да „падне“ по всяко време, както и да се възстанови. Ако ви интересува скрипт, който работи в момента (а това изисква отделна публикация) — пишете в коментарите.

Обсъжданото решение не претендира за уникалност, но бих искал да задам въпрос: „Защо на предприятието да се приспособява към съмнителни продукти с сериозни хардуерни изисквания, когато можем да разгледаме алтернативен вариант?“.

Ако в Русия има списък от Роскомнадзор, в Украйна — приложение към Решението на Съвета за национална безопасност (например. ето), то на местно ниво ръководителите също не стоят безучастно. Например, ни беше предаден списък на забранени сайтове, които, според ръководството, влошават производителността на труда на работното място.

Комуникирайки с колеги в други предприятия, където по подразбиране са забранени всички сайтове и само по искане с разрешение от началника може да се получи достъп до конкретен сайт, с уважителна усмивка, замисляйки се и „разсъждаващо по проблема“, достигнахме до разбирането, че животът все пак е хубав и започнахме нашето търсене.

Има възможност не само аналитично да прегледаме какво пишат в „книгите на домакините“ за филтриране на трафика, но и да проследим какво се случва на каналите на различни оператори, забелязахме следните рецепти (всички скрийншотове са малко изрязани, моля да разберете):

Оператор 1
— не се затруднява и налага собствените ДНС сървъри и прозрачен прокси сървър. Ами, какво да кажем?.. поне имаме достъп там, където трябва (ако ни е нужно :))

Оператор 2
— смята, че неговият горен оператор трябва да мисли за това, а техподдръжката на горния оператор дори призна, защо не мога да отворя необходимия ми, но не забранен сайт. Мисля, че картинката ще ви развесели 🙂

Както се оказа, те преобразуват имената на забранените сайтове в IP адреси и блокират именно IP (не ги тревожи, че на този IP адрес могат да се хостват и 20 сайта).

Оператор 3
— пропуска трафика натам, но обратно по маршрута не позволява.

Оператор 4
— забранява всякакви манипулации с пакетите в зададената посока.

Какво да направим с VPN (браузърът Opera е уважаван) и плъгините за браузъри? Играейки в началото с маршрутизатора Mikrotik, дори създадохме ресурсно интензивна рецепта за L7, от която по-късно се наложи да се откажем (забранените имена може да са още повече, тъжно е, когато освен основните задължения по маршрутите, на 30-тина израза натоварването на процесора PPC460GT достига 100%).

.

Какво стана ясно:
DNS на 127.0.0.1 не е панацея; съвременните версии на браузъри все пак позволяват заобикалянето на подобни проблеми. Невъзможно е да ограничим всички потребители с намалени права, и не бива да забравяме за огромното количество алтернативни DNS. Интернет не е статичен, и освен нови DNS адреси, забранените сайтове купуват нови адреси, променят домейни от горно ниво, могат да добавят/изтриват символ в своя адрес. Но все пак нещо от сорта на:

ip route add blackhole 1.2.3.4

Би било доста ефективно да получим списък с IP адреси от списъка на забранените сайтове, но по гореизложените причини преминахме към размишления за Iptables. Вече имаше работещ балансировщик на CentOS Linux release 7.5.1804.

Интернетът на потребителя трябва да бъде бърз, а браузърът не трябва да чака половин минута, заключавайки, че тази страница не е достъпна. След дълги търсения стигнахме до следната модел:
Файл 1 -> /script/denied_host, списък на забранените имена:

test.test
blablabla.bubu
torrent
porno

Файл 2 -> /script/denied_range, списък на забранените адресни пространства и адреси:

192.168.111.0/24
241.242.0.0/16

Файл-скрипт 3 -> ipt.sh, изпълняващ работа с iptables:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

Използването на sudo е обусловено от факта, че имаме малък хак за управление през WEB интерфейс, но както показа опитът от използването на тази модел повече от година, WEB не е толкова необходим. След внедряването имаше желание да внесем списъка със сайтове в БД и т.н. Броят на блокираните хостове е над 250 + десетина адресни пространства. Наистина има проблем при достъпа до сайт по https връзка, като системен администратор имам оплаквания към браузърите :), но това са частни случаи, повечето сработвания при отсъствие на достъп до ресурса все пак са от наша страна, също така успешно блокираме Opera VPN, плъгини като friGate и телеметрията от Майкрософт.

Източник: habr.com