Iptables এবং দরিদ্র এবং অলস ভিন্নমত থেকে ট্রাফিক ফিল্টারিং

নিষিদ্ধ সম্পদের পরিদর্শন অবরুদ্ধ করার প্রাসঙ্গিকতা যে কোনো প্রশাসককে প্রভাবিত করে যার বিরুদ্ধে আনুষ্ঠানিকভাবে আইন বা সংশ্লিষ্ট কর্তৃপক্ষের আদেশ পালনে ব্যর্থতার অভিযোগ আনা হতে পারে।

আমাদের কাজের জন্য বিশেষ প্রোগ্রাম এবং ডিস্ট্রিবিউশন থাকলে কেন চাকাটি পুনরায় উদ্ভাবন করবেন, উদাহরণস্বরূপ: Zeroshell, pfSense, ClearOS।

ম্যানেজমেন্টের আরেকটি প্রশ্ন ছিল: ব্যবহৃত পণ্যটির কি আমাদের রাজ্য থেকে নিরাপত্তা শংসাপত্র আছে?

আমাদের নিম্নলিখিত বিতরণগুলির সাথে কাজ করার অভিজ্ঞতা ছিল:

• Zeroshell - বিকাশকারীরা এমনকি একটি 2-বছরের লাইসেন্স দান করেছিল, কিন্তু দেখা গেল যে আমরা যে বিতরণ কিটটিতে আগ্রহী, তা অযৌক্তিকভাবে আমাদের জন্য একটি গুরুত্বপূর্ণ ফাংশন সম্পাদন করেছে;
• pfSense - সম্মান এবং সম্মান, একই সাথে বিরক্তিকর, ফ্রিবিএসডি ফায়ারওয়ালের কমান্ড লাইনে অভ্যস্ত হওয়া এবং আমাদের জন্য যথেষ্ট সুবিধাজনক নয় (আমি মনে করি এটি অভ্যাসের বিষয়, তবে এটি ভুল উপায়ে পরিণত হয়েছে);
• ClearOS - আমাদের হার্ডওয়্যারে এটি খুব ধীর হয়ে উঠেছে, আমরা গুরুতর পরীক্ষায় যেতে পারিনি, তাহলে কেন এত ভারী ইন্টারফেস?
• আইডেকো সিলেক্টা। আইডেকো পণ্যটি একটি পৃথক কথোপকথন, একটি আকর্ষণীয় পণ্য, তবে রাজনৈতিক কারণে আমাদের জন্য নয় এবং আমি একই লিনাক্স, রাউন্ডকিউব ইত্যাদির লাইসেন্স সম্পর্কে তাদের "কামড় দিতে" চাই। কোথা থেকে তারা ধারণা পেল যে ইন্টারফেস কেটে দিয়ে পাইথন এবং সুপার ব্যবহারকারীর অধিকার কেড়ে নিয়ে, তারা GPL&ইত্যাদির অধীনে বিতরণ করা ইন্টারনেট সম্প্রদায় থেকে উন্নত এবং পরিবর্তিত মডিউল দিয়ে তৈরি একটি সমাপ্ত পণ্য বিক্রি করতে পারে।

আমি বুঝতে পারি যে এখন নেতিবাচক বিস্ময়কর শব্দগুলি আমার বিষয়গত অনুভূতিগুলিকে বিশদভাবে প্রমাণ করার দাবি সহ আমার দিকে ঢেলে দেবে, তবে আমি বলতে চাই যে এই নেটওয়ার্ক নোডটি ইন্টারনেটে 4টি বাহ্যিক চ্যানেলের জন্য একটি ট্র্যাফিক ব্যালেন্সার এবং প্রতিটি চ্যানেলের নিজস্ব বৈশিষ্ট্য রয়েছে . আরেকটি ভিত্তি ছিল বিভিন্ন ঠিকানার জায়গায় কাজ করার জন্য একাধিক নেটওয়ার্ক ইন্টারফেসের একটির প্রয়োজন, এবং আমি প্রস্তুত স্বীকার করুন যে VLAN গুলি যেখানে প্রয়োজন সেখানে ব্যবহার করা যেতে পারে এবং প্রয়োজনীয় নয় প্রস্তুত নয়. TP-Link TL-R480T+-এর মতো ডিভাইসগুলি ব্যবহার করা হচ্ছে - তারা তাদের নিজস্ব সূক্ষ্মতার সাথে, সাধারণভাবে, পুরোপুরি আচরণ করে না। উবুন্টু অফিসিয়াল ওয়েবসাইটের জন্য লিনাক্সে এই অংশটি কনফিগার করা সম্ভব হয়েছিল আইপি ব্যালেন্সিং: একাধিক ইন্টারনেট চ্যানেল একত্রিত করা. তদুপরি, প্রতিটি চ্যানেল যে কোনও মুহুর্তে "পতন" পাশাপাশি উঠতে পারে। আপনি যদি একটি স্ক্রিপ্টে আগ্রহী হন যা বর্তমানে কাজ করছে (এবং এটি একটি পৃথক প্রকাশনার মূল্য), মন্তব্যগুলিতে লিখুন।

বিবেচনাধীন সমাধানটি অনন্য বলে দাবি করে না, তবে আমি প্রশ্নটি জিজ্ঞাসা করতে চাই: "কেন একটি এন্টারপ্রাইজ গুরুতর হার্ডওয়্যার প্রয়োজনীয়তা সহ তৃতীয় পক্ষের সন্দেহজনক পণ্যগুলির সাথে মানিয়ে নেওয়া উচিত যখন একটি বিকল্প বিকল্প বিবেচনা করা যেতে পারে?"

যদি রাশিয়ান ফেডারেশনে রোসকোমনাডজোরের একটি তালিকা থাকে, তবে ইউক্রেনে জাতীয় নিরাপত্তা পরিষদের সিদ্ধান্তের সাথে একটি সংযুক্তি রয়েছে (উদাহরণস্বরূপ। এখানেতখন স্থানীয় নেতারাও ঘুমায় না। উদাহরণস্বরূপ, আমাদেরকে নিষিদ্ধ সাইটগুলির একটি তালিকা দেওয়া হয়েছিল যেগুলি, পরিচালনার মতে, কর্মক্ষেত্রে উত্পাদনশীলতা নষ্ট করে৷

অন্যান্য উদ্যোগে সহকর্মীদের সাথে যোগাযোগ করা, যেখানে ডিফল্টভাবে সমস্ত সাইট নিষিদ্ধ এবং শুধুমাত্র বসের অনুমতি নিয়ে আপনি একটি নির্দিষ্ট সাইটে প্রবেশ করতে পারেন, সম্মানের সাথে হাসতে, চিন্তা করে এবং "সমস্যা নিয়ে ধূমপান করেন", আমরা বুঝতে পেরেছি যে জীবন এখনও ভাল এবং আমরা তাদের অনুসন্ধান শুরু.

ট্র্যাফিক ফিল্টারিং সম্পর্কে "গৃহিণীদের বই" এ তারা কী লিখেছে তা বিশ্লেষণাত্মকভাবে দেখার সুযোগ না পেয়ে, বিভিন্ন প্রদানকারীর চ্যানেলে কী ঘটছে তাও দেখার জন্য, আমরা নিম্নলিখিত রেসিপিগুলি লক্ষ্য করেছি (যে কোনও স্ক্রিনশট একটু ক্রপ করা হয়েছে, দয়া করে জিজ্ঞাসা করার সময় বুঝুন):

প্রদানকারী 1
— বিরক্ত করে না এবং তার নিজস্ব DNS সার্ভার এবং একটি স্বচ্ছ প্রক্সি সার্ভার চাপিয়ে দেয়। আচ্ছা? .. তবে যেখানে আমাদের প্রয়োজন সেখানে আমাদের অ্যাক্সেস আছে (যদি আমাদের প্রয়োজন হয় :))

প্রদানকারী 2
- বিশ্বাস করে যে তার শীর্ষ প্রদানকারীর এটি সম্পর্কে চিন্তা করা উচিত, শীর্ষ প্রদানকারীর প্রযুক্তিগত সহায়তা এমনকি স্বীকার করেছে যে কেন আমি আমার প্রয়োজনীয় সাইটটি খুলতে পারিনি, যা নিষিদ্ধ ছিল না। আমি মনে করি ছবিটি আপনাকে মজা দেবে :)

যেহেতু এটি পরিণত হয়েছে, তারা নিষিদ্ধ সাইটগুলির নাম আইপি ঠিকানায় অনুবাদ করে এবং আইপি নিজেই ব্লক করে (এই আইপি ঠিকানাটি 20টি সাইট হোস্ট করতে পারে তা নিয়ে তারা বিরক্ত হয় না)।

প্রদানকারী 3
— ট্রাফিক সেখানে যেতে অনুমতি দেয়, কিন্তু রুট বরাবর ফিরে অনুমতি দেয় না.

প্রদানকারী 4
— নির্দিষ্ট দিকে প্যাকেটের সাথে সমস্ত ম্যানিপুলেশন নিষিদ্ধ করে।

ভিপিএন (অপেরা ব্রাউজারের প্রতি সম্মান) এবং ব্রাউজার প্লাগইনগুলির সাথে কী করবেন? প্রথমে মিক্রোটিক নোডের সাথে খেলে, আমরা এমনকি L7 এর জন্য একটি সংস্থান-নিবিড় রেসিপি পেয়েছি, যা পরে আমাদের পরিত্যাগ করতে হয়েছিল (আরও নিষিদ্ধ নাম থাকতে পারে, এটি দুঃখজনক হয়ে ওঠে যখন, রুটের জন্য সরাসরি দায়িত্ব ছাড়াও, 3 ডজনে অভিব্যক্তি PPC460GT প্রসেসরের লোড 100% এ যায়)।

.

যা পরিষ্কার হয়ে গেল:
127.0.0.1-এ ডিএনএস একেবারেই একটি নিরাময় নয়; ব্রাউজারগুলির আধুনিক সংস্করণগুলি এখনও আপনাকে এই ধরনের সমস্যাগুলি বাইপাস করার অনুমতি দেয়। সমস্ত ব্যবহারকারীকে হ্রাসকৃত অধিকারের মধ্যে সীমাবদ্ধ করা অসম্ভব, এবং আমাদের অবশ্যই বিপুল সংখ্যক বিকল্প DNS সম্পর্কে ভুলে যাওয়া উচিত নয়। ইন্টারনেট স্থির নয়, এবং নতুন DNS ঠিকানা ছাড়াও, নিষিদ্ধ সাইটগুলি নতুন ঠিকানা কিনতে পারে, শীর্ষ-স্তরের ডোমেইন পরিবর্তন করতে পারে এবং তাদের ঠিকানায় একটি অক্ষর যোগ/মুছে দিতে পারে। কিন্তু এখনও কিছু বেঁচে থাকার অধিকার আছে:

ip route add blackhole 1.2.3.4

নিষিদ্ধ সাইটের তালিকা থেকে IP ঠিকানাগুলির একটি তালিকা পাওয়া বেশ কার্যকর হবে, কিন্তু উপরে বর্ণিত কারণগুলির জন্য, আমরা Iptables সম্পর্কে বিবেচনার দিকে এগিয়ে গিয়েছি। CentOS Linux রিলিজ 7.5.1804 এ ইতিমধ্যেই একটি লাইভ ব্যালেন্সার ছিল।

ব্যবহারকারীর ইন্টারনেট দ্রুত হওয়া উচিত, এবং ব্রাউজারটি অর্ধ মিনিট অপেক্ষা করা উচিত নয়, এই উপসংহারে যে এই পৃষ্ঠাটি উপলব্ধ নয়। দীর্ঘ অনুসন্ধানের পরে আমরা এই মডেলটিতে এসেছি:
ফাইল 1 -> /script/denied_host, নিষিদ্ধ নামের তালিকা:

test.test
blablabla.bubu
torrent
porno

ফাইল 2 -> /script/denied_range, নিষিদ্ধ ঠিকানা স্থান এবং ঠিকানার তালিকা:

192.168.111.0/24
241.242.0.0/16

স্ক্রিপ্ট ফাইল 3 -> ipt.shipables সঙ্গে কাজ করছেন:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

সুডোর ব্যবহার এই কারণে যে আমাদের WEB ইন্টারফেসের মাধ্যমে পরিচালনা করার জন্য একটি ছোট হ্যাক রয়েছে, তবে এক বছরেরও বেশি সময় ধরে এই জাতীয় মডেল ব্যবহার করার অভিজ্ঞতা হিসাবে দেখা গেছে, WEB এতটা প্রয়োজনীয় নয়। বাস্তবায়নের পরে, ডাটাবেসে সাইটগুলির একটি তালিকা যোগ করার ইচ্ছা ছিল, ইত্যাদি। অবরুদ্ধ হোস্টের সংখ্যা 250 + এক ডজন ঠিকানা স্থানের বেশি। একটি https সংযোগের মাধ্যমে একটি সাইটে যাওয়ার সময় সত্যিই একটি সমস্যা হয়, যেমন সিস্টেম অ্যাডমিনিস্ট্রেটর, ব্রাউজার সম্পর্কে আমার অভিযোগ আছে :), তবে এগুলি বিশেষ ক্ষেত্রে, সংস্থানগুলিতে অ্যাক্সেসের অভাবের জন্য বেশিরভাগ ট্রিগার এখনও আমাদের পক্ষে রয়েছে , আমরা Microsoft থেকে Opera VPN এবং ফ্রিগেট এবং টেলিমেট্রির মতো প্লাগইনগুলিকে সফলভাবে ব্লক করেছি।

উত্স: www.habr.com