🥇Характеристики на настройките на DPI

Тази статия не обхваща пълната настройка на DPI и всичко свързано заедно, а научната стойност на текста е минимална. Но той описва най-простия начин за заобикаляне на DPI, който много компании не са взели предвид.

Отказ от отговорност #1: Тази статия е от изследователски характер и не насърчава никого да прави или използва каквото и да било. Идеята е базирана на личен опит и всякакви прилики са случайни.

Предупреждение № 2: статията не разкрива тайните на Атлантида, търсенето на Светия Граал и други мистерии на Вселената, всички материали са свободно достъпни и може да са описани повече от веднъж на Хабре. (не го намерих, ще съм благодарен за линка)

За тези, които са прочели предупрежденията, нека започнем.

Какво е DPI?

DPI или Deep Packet Inspection е технология за натрупване на статистически данни, проверка и филтриране на мрежови пакети чрез анализиране не само на заглавките на пакетите, но и на пълното съдържание на трафика на нива на модела OSI от второто и по-високото, което ви позволява да откривате и блокиране на вируси, филтриране на информация, която не отговаря на определени критерии.

Има два типа DPI връзка, които са описани ВалдикСС в github:

Пасивен DPI

DPI, свързан към мрежата на доставчика паралелно (не в разрез) или чрез пасивен оптичен сплитер, или чрез огледално отразяване на трафик, произхождащ от потребители. Тази връзка не забавя скоростта на мрежата на доставчика в случай на недостатъчна DPI производителност, поради което се използва от големи доставчици. DPI с този тип връзка може технически само да открие опит за искане на забранено съдържание, но не и да го спре. За да заобиколи това ограничение и да блокира достъпа до забранен сайт, DPI изпраща на потребителя, искащ блокиран URL адрес, специално създаден HTTP пакет с пренасочване към страницата на доставчика, сякаш такъв отговор е изпратен от самия заявен ресурс (IP на подателя адресът и TCP последователността са подправени). Тъй като DPI е физически по-близо до потребителя, отколкото заявения сайт, фалшивият отговор достига до устройството на потребителя по-бързо от истинския отговор от сайта.

Активен DPI

Активен DPI - DPI, свързан към мрежата на доставчика по обичайния начин, като всяко друго мрежово устройство. Доставчикът конфигурира маршрутизирането, така че DPI да получава трафик от потребители към блокирани IP адреси или домейни, а DPI след това решава дали да разреши или блокира трафика. Active DPI може да проверява както изходящия, така и входящия трафик, но ако доставчикът използва DPI само за блокиране на сайтове от регистъра, той най-често е конфигуриран да проверява само изходящия трафик.

Не само ефективността на блокирането на трафика, но и натоварването на DPI зависи от типа връзка, така че е възможно да не се сканира целия трафик, а само определени:

"Нормален" DPI

„Обичайният“ DPI е DPI, който филтрира определен тип трафик само на най-често срещаните портове за този тип. Например „обикновен“ DPI открива и блокира забранен HTTP трафик само на порт 80, HTTPS трафик на порт 443. Този тип DPI няма да проследява забранено съдържание, ако изпратите заявка с блокиран URL адрес до неблокиран IP или не- стандартен порт.

"Пълен" DPI

За разлика от „обикновения“ DPI, този тип DPI класифицира трафика независимо от IP адреса и порта. По този начин блокираните сайтове няма да се отварят, дори ако използвате прокси сървър на напълно различен порт и неблокиран IP адрес.

Използване на DPI

За да не намалите скоростта на трансфер на данни, трябва да използвате „Нормален“ пасивен DPI, който ви позволява ефективно? блокирам някой? ресурси, конфигурацията по подразбиране изглежда така:

HTTP филтър само на порт 80
HTTPS само на порт 443
BitTorrent само на портове 6881-6889

Но проблемите започват, ако ресурсът ще използва различен порт, за да не загуби потребители, тогава ще трябва да проверите всеки пакет, например можете да дадете:

HTTP работи на порт 80 и 8080
HTTPS на порт 443 и 8443
BitTorrent на всяка друга лента

Поради това ще трябва или да превключите на „Активен“ DPI, или да използвате блокиране с помощта на допълнителен DNS сървър.

Блокиране чрез DNS

Един от начините за блокиране на достъпа до ресурс е да се прихване DNS заявката с помощта на локален DNS сървър и да се върне на потребителя IP адрес „мъниче“, а не необходимия ресурс. Но това не дава гарантиран резултат, тъй като е възможно да се предотврати подправянето на адреси:

Опция 1: Редактиране на файла hosts (за настолен компютър)

Файлът hosts е неразделна част от всяка операционна система, което ви позволява винаги да го използвате. За достъп до ресурса потребителят трябва:

Разберете IP адреса на необходимия ресурс
Отворете файла hosts за редактиране (необходими са администраторски права), намиращ се в:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
Добавете ред във формат: <име на ресурс>
Запазване на промените

Предимството на този метод е неговата сложност и изискването за администраторски права.

Опция 2: DoH (DNS през HTTPS) или DoT (DNS през TLS)

Тези методи ви позволяват да защитите вашата DNS заявка от подправяне чрез криптиране, но внедряването не се поддържа от всички приложения. Нека да разгледаме лесното настройване на DoH за Mozilla Firefox версия 66 от страна на потребителя:

Отидете на адреса за: довереник във Firefox
Потвърдете, че потребителят поема целия риск
Променете стойността на параметъра network.trr.mode На:
- 0 - деактивиране на TRR
- 1 - автоматичен избор
- 2 - активирайте DoH по подразбиране
Промяна на параметъра network.trr.uri избор на DNS сървър
- Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
- GoogleDNS: dns.google.com/experimental
Промяна на параметъра network.trr.boostrapAddress На:
- Ако е избран Cloudflare DNS: 1.1.1.1
- Ако е избран Google DNS: 8.8.8.8
Променете стойността на параметъра network.security.esni.enabled на вярно
Проверете дали настройките са правилни, като използвате Услуга Cloudflare

Въпреки че този метод е по-сложен, той не изисква потребителят да има администраторски права и има много други начини за защита на DNS заявка, които не са описани в тази статия.

Вариант 3 (за мобилни устройства):

Използване на приложението Cloudflare за Android и IOS.

Тестване

За да проверите липсата на достъп до ресурси, временно е закупен домейн, блокиран в Руската федерация:

HTTP проверка + порт 80
HTTP проверка + порт 8080
HTTPS проверка + порт 443
HTTPS проверка + порт 8443

Заключение

Надявам се, че тази статия ще бъде полезна и ще насърчи не само администраторите да разберат по-подробно темата, но и ще даде разбиране, че ресурсите винаги ще бъдат на страната на потребителя и търсенето на нови решения трябва да бъде неразделна част от него.

Полезни връзки

Допълнение извън статиятаТестът Cloudflare не може да бъде завършен в мрежата на оператора Tele2 и правилно конфигуриран DPI блокира достъпа до тестовия сайт.
PS Засега това е първият доставчик, който правилно блокира ресурсите.

Източник: www.habr.com

Характеристики на настройките на DPI