🥇 ব্লকিং বাইপাস করার জন্য BGP সেট আপ করা, অথবা "কীভাবে আমি ভয় পাওয়া বন্ধ করেছিলাম এবং RKN এর প্রেমে পড়েছিলাম"

আচ্ছা, ঠিক আছে, "প্রেমে পড়ে" সম্পর্কে একটি অতিরঞ্জন। বরং "সহাবস্থান করতে পারে"।

আপনি সকলেই জানেন, 16 এপ্রিল, 2018 সাল থেকে, Roskomnadzor অত্যন্ত বিস্তৃত স্ট্রোক সহ নেটওয়ার্কে সংস্থানগুলিতে অ্যাক্সেস ব্লক করে চলেছে, ডোমেন নামের ইউনিফাইড রেজিস্ট্রিতে যোগ করে, ইন্টারনেটে সাইটের পৃষ্ঠাগুলির পয়েন্টার এবং নেটওয়ার্ক ঠিকানাগুলি যা আপনাকে অনুমতি দেয় ইন্টারনেটে সাইটগুলি সনাক্ত করুন, যেখানে তথ্য রয়েছে, যার প্রচার রাশিয়ান ফেডারেশনে নিষিদ্ধ” (পাঠ্যে - কেবল একটি রেজিস্টার) /10 কখনও কখনও। ফলস্বরূপ, রাশিয়ান ফেডারেশনের নাগরিকরা এবং ব্যবসাগুলি তাদের প্রয়োজনীয় সম্পূর্ণ আইনি সংস্থানগুলিতে অ্যাক্সেস হারিয়ে ফেলে।

আমি Habre-এর একটি নিবন্ধের মন্তব্যে বলার পর যে আমি একটি বাইপাস স্কিম স্থাপনের জন্য ক্ষতিগ্রস্তদের সাহায্য করতে প্রস্তুত, অনেক লোক আমার সাথে যোগাযোগ করে এই ধরনের সাহায্য চেয়েছিল। যখন সবকিছু তাদের জন্য কাজ করে, তাদের মধ্যে একজন একটি নিবন্ধে কৌশলটি বর্ণনা করার সুপারিশ করেছিলেন। প্রতিফলনের জন্য, আমি সাইটে আমার নীরবতা ভাঙার সিদ্ধান্ত নিয়েছি এবং একটি প্রকল্প এবং ফেসবুকে একটি পোস্টের মধ্যে মধ্যবর্তী কিছু লিখতে একবার চেষ্টা করেছি, যেমন habrapost ফলাফল আপনার সামনে।

দায়িত্ব অস্বীকার

যেহেতু রাশিয়ান ফেডারেশনের ভূখণ্ডে নিষিদ্ধ তথ্যের অ্যাক্সেস ব্লক করার উপায়গুলি প্রকাশ করা খুব আইনি নয়, তাই এই নিবন্ধটির উদ্দেশ্য এমন একটি পদ্ধতি সম্পর্কে কথা বলা হবে যা আপনাকে অঞ্চলে অনুমোদিত সংস্থানগুলিতে স্বয়ংক্রিয়ভাবে অ্যাক্সেসের অনুমতি দেয়। রাশিয়ান ফেডারেশনের, কিন্তু কারো ক্রিয়াকলাপের কারণে সরাসরি আপনার প্রদানকারীর মাধ্যমে অ্যাক্সেসযোগ্য নয়। এবং নিবন্ধ থেকে ক্রিয়াকলাপের ফলে প্রাপ্ত অন্যান্য সংস্থানগুলিতে অ্যাক্সেস একটি দুর্ভাগ্যজনক পার্শ্ব প্রতিক্রিয়া এবং এটি কোনওভাবেই নিবন্ধের উদ্দেশ্য নয়।

এছাড়াও, যেহেতু আমি পেশাগতভাবে একজন নেটওয়ার্ক আর্কিটেক্ট, পেশা এবং জীবন পথ, প্রোগ্রামিং এবং লিনাক্স আমার শক্তি নয়। অতএব, অবশ্যই, স্ক্রিপ্টগুলি আরও ভালভাবে লেখা যেতে পারে, ভিপিএস-এ সুরক্ষা সমস্যাগুলি আরও গভীরভাবে কাজ করা যেতে পারে ইত্যাদি। আপনার পরামর্শগুলি কৃতজ্ঞতার সাথে গৃহীত হবে, যদি সেগুলি যথেষ্ট বিস্তারিত হয় - আমি সেগুলি নিবন্ধের পাঠ্যে যুক্ত করতে পেরে খুশি হব।

TL; ডিআর

আমরা রেজিস্ট্রি এবং BGP প্রোটোকলের একটি অনুলিপি ব্যবহার করে আপনার বিদ্যমান টানেলের মাধ্যমে সংস্থানগুলিতে স্বয়ংক্রিয়ভাবে অ্যাক্সেস করি। লক্ষ্য হল টানেলে অবরুদ্ধ সংস্থানগুলিতে সম্বোধন করা সমস্ত ট্র্যাফিক অপসারণ করা। ন্যূনতম ব্যাখ্যা, বেশিরভাগই ধাপে ধাপে নির্দেশাবলী।

এই জন্য আপনার কি প্রয়োজন

দুর্ভাগ্যক্রমে, এই পোস্টটি সবার জন্য নয়। এই কৌশলটি ব্যবহার করার জন্য, আপনাকে কয়েকটি উপাদান একত্রিত করতে হবে:

ব্লকিং ফিল্ডের বাইরে কোথাও আপনার অবশ্যই একটি লিনাক্স সার্ভার থাকতে হবে। অথবা অন্তত এই ধরনের একটি সার্ভার শুরু করার ইচ্ছা - যেহেতু এটি এখন $ 9 / বছর থেকে খরচ হয়, এবং সম্ভবত কম। পদ্ধতিটিও উপযুক্ত যদি আপনার একটি পৃথক ভিপিএন টানেল থাকে, তাহলে সার্ভারটি ব্লক ক্ষেত্রের ভিতরে অবস্থিত হতে পারে।
আপনার রাউটারটি সক্ষম হওয়ার জন্য যথেষ্ট স্মার্ট হতে হবে
- আপনার পছন্দের যেকোন VPN ক্লায়েন্ট (আমি OpenVPN পছন্দ করি, তবে এটি PPTP, L2TP, GRE+IPSec এবং অন্য কোনো বিকল্প হতে পারে যা একটি টানেল ইন্টারফেস তৈরি করে);
- BGPv4 প্রোটোকল। যার মানে হল যে SOHO এর জন্য এটি Mikrotik বা OpenWRT/LEDE/অনুরূপ কাস্টম ফার্মওয়্যার সহ যেকোন রাউটার হতে পারে যা আপনাকে Quagga বা Bird ইনস্টল করতে দেয়। পিসি রাউটার ব্যবহারও নিষিদ্ধ নয়। একটি এন্টারপ্রাইজের জন্য, BGP সমর্থনের জন্য আপনার বর্ডার রাউটারের ডকুমেন্টেশন দেখুন।
আপনার BGP সহ Linux ব্যবহার এবং নেটওয়ার্ক প্রযুক্তির সাথে পরিচিত হওয়া উচিত। অথবা অন্তত যে ধারণা পেতে চান. যেহেতু আমি এই সময় বিশালতাকে আলিঙ্গন করতে প্রস্তুত নই, তাই আপনাকে এমন কিছু পয়েন্ট অধ্যয়ন করতে হবে যা আপনার নিজের থেকে বোধগম্য নয়। যাইহোক, আমি অবশ্যই মন্তব্যে নির্দিষ্ট প্রশ্নের উত্তর দেব এবং আমি একমাত্র উত্তর দেবার সম্ভাবনা নেই, তাই নির্দ্বিধায় জিজ্ঞাসা করুন।

উদাহরণে কি ব্যবহার করা হয়েছে

রেজিস্টারের কপি https://github.com/zapret-info/z-i
ভিপিএস - উবুন্টু 16.04
রাউটিং পরিষেবা - পাখি 1.6.3
রাউটার - Mikrotik hAP ac
কার্যকারী ফোল্ডার - যেহেতু আমরা রুট হিসাবে কাজ করছি, তাই বেশিরভাগই রুট হোম ফোল্ডারে স্থাপন করা হবে। যথাক্রমে:
- /root/blacklist - সংকলন স্ক্রিপ্ট সহ কার্যকরী ফোল্ডার
- /root/zi - github থেকে রেজিস্ট্রির একটি অনুলিপি
- /etc/bird - স্ট্যান্ডার্ড পাখি পরিষেবা সেটিংস ফোল্ডার
আমরা 194.165.22.146, ASN 64998 রাউটিং সার্ভার এবং টানেল টার্মিনেশন পয়েন্ট সহ VPS-এর বাহ্যিক IP ঠিকানা হিসাবে গ্রহণ করি; রাউটারের বাহ্যিক আইপি ঠিকানা - 81.177.103.94, ASN 64999
টানেলের ভিতরের IP ঠিকানাগুলি যথাক্রমে 172.30.1.1 এবং 172.30.1.2৷

অবশ্যই, আপনি অন্য কোন রাউটার, অপারেটিং সিস্টেম এবং সফ্টওয়্যার পণ্য ব্যবহার করতে পারেন, তাদের যুক্তির সাথে মানানসই সমাধান সামঞ্জস্য করতে পারেন।

সংক্ষেপে - সমাধানের যুক্তি

প্রস্তুতিমূলক কর্ম
1. একটি VPS পাচ্ছেন
2. আমরা রাউটার থেকে ভিপিএসে টানেল বাড়াই
রেজিস্ট্রির একটি অনুলিপি প্রাপ্ত করা এবং নিয়মিত আপডেট করা
রাউটিং পরিষেবা ইনস্টল এবং কনফিগার করা
রেজিস্ট্রির উপর ভিত্তি করে রাউটিং পরিষেবার জন্য স্ট্যাটিক রুটের একটি তালিকা তৈরি করুন
আমরা রাউটারটিকে পরিষেবার সাথে সংযুক্ত করি এবং টানেলের মাধ্যমে সমস্ত ট্র্যাফিক পাঠানোর সেট আপ করি৷

আসল সিদ্ধান্ত

প্রস্তুতিমূলক কর্ম

নেটওয়ার্কের বিশালতায় এমন অনেক পরিষেবা রয়েছে যা অত্যন্ত যুক্তিসঙ্গত অর্থের জন্য VPS প্রদান করে। এখনও অবধি, আমি $9/বছরের বিকল্প খুঁজে পেয়েছি এবং ব্যবহার করেছি, তবে আপনি যদি সত্যিই বিরক্ত না হন, তবে প্রতিটি কোণে 1E/মাসের জন্য অনেকগুলি বিকল্প রয়েছে। একটি ভিপিএস বেছে নেওয়ার প্রশ্নটি এই নিবন্ধের সুযোগের বাইরে রয়েছে, তাই যদি এই সম্পর্কে কারও কাছে কিছু স্পষ্ট না হয় তবে মন্তব্যগুলিতে জিজ্ঞাসা করুন।

আপনি যদি শুধুমাত্র রাউটিং পরিষেবার জন্যই নয়, এটিতে একটি টানেল বন্ধ করার জন্যও ভিপিএস ব্যবহার করেন তবে আপনাকে এই টানেলটি বাড়াতে হবে এবং প্রায় দ্ব্যর্থহীনভাবে এটির জন্য NAT কনফিগার করতে হবে। এই ক্রিয়াগুলির জন্য নেটওয়ার্কে প্রচুর সংখ্যক নির্দেশাবলী রয়েছে, আমি সেগুলি এখানে পুনরাবৃত্তি করব না। এই ধরনের একটি টানেলের জন্য প্রধান প্রয়োজনীয়তা হল এটি আপনার রাউটারে একটি পৃথক ইন্টারফেস তৈরি করতে হবে যা ভিপিএসের দিকে টানেলটিকে সমর্থন করে। সর্বাধিক ব্যবহৃত VPN প্রযুক্তি এই প্রয়োজনীয়তা পূরণ করে - উদাহরণস্বরূপ, টিউন মোডে OpenVPN ঠিক আছে।

রেজিস্ট্রির একটি কপি পান

যেমন জাবরাইল বলেছেন, "যে আমাদের বাধা দেবে সে আমাদের সাহায্য করবে।" যেহেতু RKN নিষিদ্ধ সম্পদের একটি রেজিস্ট্রি তৈরি করছে, তাই আমাদের সমস্যা সমাধানের জন্য এই রেজিস্ট্রি ব্যবহার না করা পাপ হবে। আমরা গিথুব থেকে রেজিস্ট্রির একটি অনুলিপি পাব।

আমরা আপনার লিনাক্স সার্ভারে যাই, রুট'এর প্রসঙ্গে পড়ি (সুডো সু-) এবং গিট ইনস্টল করুন যদি এটি ইতিমধ্যে ইনস্টল না থাকে।

apt install git

আপনার হোম ডিরেক্টরিতে যান এবং রেজিস্ট্রির একটি অনুলিপি বের করুন।

cd ~ && git clone --depth=1 https://github.com/zapret-info/z-i

একটি ক্রন আপডেট সেট আপ করুন (আমার কাছে এটি প্রতি 20 মিনিটে আছে, তবে আপনি আপনার আগ্রহের যে কোনও ব্যবধান বেছে নিতে পারেন)। এটি করতে, আমরা চালাই crontab -e এবং এটিতে নিম্নলিখিত লাইন যুক্ত করুন:

*/20 * * * * cd ~/z-i && git pull && git gc

আমরা একটি হুক সংযুক্ত করি যা রেজিস্ট্রি আপডেট করার পরে রাউটিং পরিষেবার জন্য ফাইল তৈরি করবে। এটি করার জন্য, আমরা একটি ফাইল তৈরি করি /root/zi/.git/hooks/post-merge নিম্নলিখিত বিষয়বস্তু সহ:

#!/usr/bin/env bash
changed_files="$(git diff-tree -r --name-only --no-commit-id ORIG_HEAD HEAD)"
check_run() {
    echo "$changed_files" | grep --quiet "$1" && eval "$2"
}
check_run dump.csv "/root/blacklist/makebgp"

এবং এটি কার্যকর করতে ভুলবেন না

chmod +x /root/z-i/.git/hooks/post-merge

হুক দ্বারা উল্লেখ করা makebgp স্ক্রিপ্ট পরে তৈরি করা হবে।

রাউটিং পরিষেবা ইনস্টল এবং কনফিগার করা

পাখি ইনস্টল করুন। দুর্ভাগ্যবশত, বর্তমানে উবুন্টু রিপোজিটরিতে প্রকাশিত পাখির সংস্করণটি আর্কিওপ্টেরিক্স মলের সাথে সতেজতার সাথে তুলনীয়, তাই আমাদের প্রথমে সিস্টেমে সফ্টওয়্যার বিকাশকারীদের অফিসিয়াল পিপিএ যুক্ত করতে হবে।

add-apt-repository ppa:cz.nic-labs/bird
apt update
apt install bird

এর পরে, আমরা অবিলম্বে আইপিভি 6 এর জন্য পাখি অক্ষম করি - এই ইনস্টলেশনে আমাদের এটির প্রয়োজন হবে না।

systemctl stop bird6
systemctl disable bird6

নীচে পাখি পরিষেবার জন্য একটি সংক্ষিপ্ত কনফিগারেশন ফাইল রয়েছে (/etc/bird/bird.conf), যা আমাদের জন্য যথেষ্ট (এবং আবারও আমি আপনাকে মনে করিয়ে দিচ্ছি যে কেউ আপনার নিজের প্রয়োজন অনুসারে ধারণাটি বিকাশ এবং টিউন করতে নিষেধ করে না)

log syslog all;
router id 172.30.1.1;

protocol kernel {
        scan time 60;
        import none;
#       export all;   # Actually insert routes into the kernel routing table
}

protocol device {
        scan time 60;
}

protocol direct {
        interface "venet*", "tun*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
        import all;
        include "pfxlist.txt";
        #include "iplist.txt";
}

protocol bgp OurRouter {
        description "Our Router";
        neighbor 81.177.103.94 as 64999;
        import none;
        export where proto = "static_bgp";
        local as 64998;
        passive off;
        multihop;
}

রাউটার আইডি - রাউটার শনাক্তকারী, দৃশ্যত একটি IPv4 ঠিকানার মতো দেখাচ্ছে, কিন্তু এটি নয়। আমাদের ক্ষেত্রে, এটি IPv32 ঠিকানা বিন্যাসে যেকোনো 4-বিট নম্বর হতে পারে, তবে সেখানে আপনার ডিভাইসের (এই ক্ষেত্রে, VPS) IPv4 ঠিকানা উল্লেখ করা ভাল অভ্যাস।

প্রোটোকল সরাসরি নির্ধারণ করে কোন ইন্টারফেস রাউটিং প্রক্রিয়ার সাথে কাজ করবে। উদাহরণটি নামের কয়েকটি উদাহরণ দেয়, আপনি আরও যোগ করতে পারেন। আপনি সহজভাবে লাইনটি মুছে ফেলতে পারেন, এই ক্ষেত্রে সার্ভার একটি IPv4 ঠিকানা সহ সমস্ত উপলব্ধ ইন্টারফেসে শুনবে।

প্রোটোকল স্ট্যাটিক হল আমাদের জাদু যা পরবর্তী ঘোষণার জন্য ফাইল থেকে উপসর্গ এবং আইপি ঠিকানার তালিকা (যা অবশ্যই, /32 উপসর্গ) লোড করে। এই তালিকাগুলি কোথা থেকে এসেছে তা নীচে আলোচনা করা হবে। অনুগ্রহ করে মনে রাখবেন যে আইপি ঠিকানা লোড করা ডিফল্টরূপে মন্তব্য করা হয়, এর কারণ হল বিপুল পরিমাণ আপলোড। তুলনা করার জন্য, নিবন্ধটি লেখার সময়, উপসর্গগুলির তালিকায় 78টি লাইন এবং ip ঠিকানাগুলির তালিকায় 85898টি রয়েছে৷ আমি দৃঢ়ভাবে সুপারিশ করছি যে আপনি শুধুমাত্র উপসর্গগুলির তালিকা থেকে শুরু করুন এবং ডিবাগ করুন এবং সিদ্ধান্ত নিন কি না আপনার রাউটার নিয়ে পরীক্ষা করার পর ভবিষ্যতে আইপি লোডিং সক্ষম করতে। তাদের প্রত্যেকেই রাউটিং টেবিলে 85 হাজার এন্ট্রি সহজে হজম করতে পারে না।

প্রোটোকল বিজিপি আসলে আপনার রাউটারের সাথে বিজিপি পিয়ারিং সেট আপ করে। ip-address হল রাউটারের বাহ্যিক ইন্টারফেসের ঠিকানা (বা রাউটারের পাশ থেকে টানেল ইন্টারফেসের ঠিকানা), 64998 এবং 64999 হল স্বায়ত্তশাসিত সিস্টেমের সংখ্যা। এই ক্ষেত্রে, এগুলি যেকোন 16-বিট সংখ্যার আকারে বরাদ্দ করা যেতে পারে, তবে RFC6996 - 64512-65534 সহ সংজ্ঞায়িত ব্যক্তিগত পরিসর থেকে AS নম্বরগুলি ব্যবহার করা ভাল অনুশীলন (একটি 32-বিট ASN ফর্ম্যাট আছে, কিন্তু আমাদের ক্ষেত্রে এটি অবশ্যই ওভারকিল)। বর্ণিত কনফিগারেশনটি ইবিজিপি পিয়ারিং ব্যবহার করে, যেখানে রাউটিং পরিষেবা এবং রাউটারের স্বায়ত্তশাসিত সিস্টেম নম্বরগুলি আলাদা হতে হবে।

আপনি দেখতে পাচ্ছেন, পরিষেবাটির রাউটারের আইপি ঠিকানা জানতে হবে, তাই আপনার যদি একটি ডায়নামিক বা নন-রাউটেবল প্রাইভেট (RFC1918) বা শেয়ার করা (RFC6598) ঠিকানা থাকে, তাহলে আপনার কাছে বাহ্যিক ইন্টারফেসে পিয়ারিং বাড়ানোর কোনো বিকল্প নেই, কিন্তু পরিষেবা এখনও টানেলের ভিতরে কাজ করবে।

এটিও বেশ স্বচ্ছ যে আপনি একটি পরিষেবা থেকে রুট সহ বেশ কয়েকটি ভিন্ন রাউটার সরবরাহ করতে পারেন - শুধুমাত্র প্রতিবেশীর IP ঠিকানা পরিবর্তন করে প্রোটোকল bgp বিভাগটি অনুলিপি করে তাদের জন্য সেটিংস নকল করুন৷ এই কারণেই উদাহরণটি টানেলের বাইরে পিয়ারিংয়ের সেটিংস দেখায়, সবচেয়ে সর্বজনীন হিসাবে। সেই অনুযায়ী সেটিংসে আইপি ঠিকানা পরিবর্তন করে তাদের টানেলে সরিয়ে ফেলা কঠিন নয়।

রাউটিং পরিষেবার জন্য রেজিস্ট্রি প্রক্রিয়াকরণ

এখন আমাদের প্রয়োজন, প্রকৃতপক্ষে, প্রিফিক্স এবং আইপি-ঠিকানার তালিকা তৈরি করতে, যা প্রোটোকল স্ট্যাটিক এর পূর্ববর্তী ধাপে উল্লেখ করা হয়েছে। এটি করার জন্য, আমরা রেজিস্ট্রি ফাইলটি নিই এবং নিম্নলিখিত স্ক্রিপ্টের সাহায্যে আমাদের প্রয়োজনীয় ফাইলগুলি তৈরি করি /root/blacklist/makebgp

#!/bin/bash
cut -d";" -f1 /root/z-i/dump.csv| tr '|' 'n' |  tr -d ' ' > /root/blacklist/tmpaddr.txt
cat /root/blacklist/tmpaddr.txt | grep / | sed 's_.*_route & reject;_' > /etc/bird/pfxlist.txt
cat /root/blacklist/tmpaddr.txt | sort | uniq | grep -Eo "([0-9]{1,3}[.]){3}[0-9]{1,3}" | sed 's_.*_route &/32 reject;_' > /etc/bird/iplist.txt
/etc/init.d/bird reload
logger 'bgp list compiled'

এটি কার্যকর করতে ভুলবেন না

chmod +x /root/blacklist/makebgp

এখন আপনি এটি নিজে চালাতে পারেন এবং /etc/bird-এ ফাইলগুলির উপস্থিতি পর্যবেক্ষণ করতে পারেন।

সম্ভবত, এই মুহুর্তে পাখি আপনার জন্য কাজ করে না, কারণ পূর্ববর্তী পর্যায়ে আপনি পরামর্শ দিয়েছিলেন যে এটি এখনও বিদ্যমান নেই এমন ফাইলগুলির জন্য অনুসন্ধান করুন। অতএব, আমরা এটি চালু করি এবং নিয়ন্ত্রণ করি যে এটি শুরু হয়:

systemctl start bird
birdc show route

দ্বিতীয় কমান্ডের আউটপুটটি প্রায় 80টি এন্ট্রি দেখাতে হবে (এটি এই মুহূর্তে, এবং আপনি যখন এটি সেট আপ করবেন, সবকিছুই নেটওয়ার্ক ব্লক করার ক্ষেত্রে ILV-এর উদ্যোগের উপর নির্ভর করবে):

54.160.0.0/12      unreachable [static_bgp 2018-04-19] * (200)

টীম

birdc show protocol

পরিষেবার মধ্যে প্রোটোকলের অবস্থা দেখাবে। যতক্ষণ না আপনি রাউটার কনফিগার করছেন (পরবর্তী অনুচ্ছেদ দেখুন), আমাদের রাউটার প্রোটোকলটি স্টার্ট স্টেটে থাকবে (সংযুক্ত বা সক্রিয় পর্যায়), এবং সফল সংযোগের পরে, এটি আপ স্টেটে (স্থাপিত পর্যায়) চলে যাবে। উদাহরণস্বরূপ, আমার সিস্টেমে, এই কমান্ডের আউটপুটটি এইরকম দেখাচ্ছে:

BIRD 1.6.3 ready.
name     proto    table    state  since       info
kernel1  Kernel   master   up     2018-04-19
device1  Device   master   up     2018-04-19
static_bgp Static   master   up     2018-04-19
direct1  Direct   master   up     2018-04-19
RXXXXXx1 BGP      master   up     13:10:22    Established
RXXXXXx2 BGP      master   up     2018-04-24  Established
RXXXXXx3 BGP      master   start  2018-04-22  Connect       Socket: Connection timed out
RXXXXXx4 BGP      master   up     2018-04-24  Established
RXXXXXx5 BGP      master   start  2018-04-24  Passive

একটি রাউটার সংযোগ করা হচ্ছে

সবাই সম্ভবত ইতিমধ্যে এই ফুটক্লথ পড়তে ক্লান্ত, কিন্তু হৃদয় নিন - শেষ কাছাকাছি. তদুপরি, এই বিভাগে আমি ধাপে ধাপে নির্দেশনা দিতে সক্ষম হব না - এটি প্রতিটি প্রস্তুতকারকের জন্য আলাদা হবে।

যাইহোক, আমি আপনাকে কয়েকটা উদাহরণ দেখাতে পারি। মূল যুক্তি হল BGP পিয়ারিং বাড়াতে এবং নেক্সটহপকে সমস্ত প্রাপ্ত উপসর্গের সাথে সংযুক্ত করা, আমাদের টানেলের দিকে নির্দেশ করে (যদি আপনাকে p2p ইন্টারফেসের মাধ্যমে ট্রাফিক আউটপুট করতে হয়) বা নেক্সটহপ আইপি-ঠিকানা যদি ট্রাফিক ইথারনেটে যায়)।

উদাহরণস্বরূপ, রাউটারওএস-এর মিক্রোটিকে, এটি নিম্নরূপ সমাধান করা হয়েছে

/routing bgp instance set default as=64999 ignore-as-path-len=yes router-id=172.30.1.2
/routing bgp peer add in-filter=dynamic-in multihop=yes name=VPS remote-address=194.165.22.146 remote-as=64998 ttl=default
/routing filter add action=accept chain=dynamic-in protocol=bgp comment="Set nexthop" set-in-nexthop=172.30.1.1

এবং সিসকো আইওএস-এ - এইরকম

router bgp 64999
  neighbor 194.165.22.146 remote-as 64998
  neighbor 194.165.22.146 route-map BGP_NEXT_HOP in
  neighbor 194.165.22.146 ebgp-multihop 250
!
route-map BGP_NEXT_HOP permit 10
  set ip next-hop 172.30.1.1

একই টানেল BGP পিয়ারিং এবং দরকারী ট্র্যাফিক ট্রান্সমিট করার জন্য উভয়ই ব্যবহার করা হলে, নেক্সটহপ সেট করার প্রয়োজন নেই, এটি প্রোটোকলের মাধ্যমে সঠিকভাবে সেট করা হবে। তবে আপনি যদি এটি ম্যানুয়ালি সেট করেন তবে এটি আরও খারাপ হবে না।

অন্যান্য প্ল্যাটফর্মে, আপনাকে নিজেই কনফিগারেশনটি বের করতে হবে, তবে আপনার যদি কোনও অসুবিধা হয় তবে মন্তব্যগুলিতে লিখুন, আমি সাহায্য করার চেষ্টা করব।

আপনার বিজিপি অধিবেশন বেড়ে যাওয়ার পরে, বড় নেটওয়ার্কগুলির রুটগুলি এসেছে এবং টেবিলে ইনস্টল করা হয়েছে, সেগুলির ঠিকানাগুলিতে ট্র্যাফিক চলে গেছে এবং সুখের কাছাকাছি, আপনি পাখি পরিষেবাতে ফিরে যেতে পারেন এবং সেখানে প্রবেশটি আনকমেন্ট করার চেষ্টা করতে পারেন যা সংযোগ করে। আইপি ঠিকানাগুলির তালিকা, তারপরে চালান

systemctl reload bird

এবং দেখুন কিভাবে আপনার রাউটার এই 85 হাজার রুট স্থানান্তর করেছে। এটি বন্ধ করার জন্য প্রস্তুত হন এবং এটির সাথে কী করবেন তা নিয়ে ভাবুন 🙂৷

মোটে

বিশুদ্ধভাবে তাত্ত্বিকভাবে, উপরের পদক্ষেপগুলি সম্পাদন করার পরে, আপনার কাছে এমন একটি পরিষেবা রয়েছে যা স্বয়ংক্রিয়ভাবে ফিল্টারিং সিস্টেমের পরে রাশিয়ান ফেডারেশনে নিষিদ্ধ আইপি ঠিকানাগুলিতে ট্র্যাফিককে পুনঃনির্দেশ করে।

এটা, অবশ্যই, উন্নত করা যেতে পারে. উদাহরণস্বরূপ, পার্ল বা পাইথন সমাধানের মাধ্যমে আইপি ঠিকানাগুলির একটি তালিকা যোগ করা যথেষ্ট সহজ। Net::CIDR::Lite-এর মাধ্যমে একটি সাধারণ পার্ল স্ক্রিপ্ট 85 হাজার উপসর্গকে 60 (হাজার নয়) তে পরিণত করে, কিন্তু স্বাভাবিকভাবেই ব্লকের চেয়ে অনেক বড় অ্যাড্রেস কভার করে।

যেহেতু পরিষেবাটি ISO/OSI মডেলের তৃতীয় স্তরে কাজ করে, তাই এটি আপনাকে সাইট/পৃষ্ঠা ব্লক করা থেকে রক্ষা করবে না যদি এটি রেজিস্ট্রিতে রেকর্ড করা ঠিকানার সমাধান না করে। কিন্তু github থেকে রেজিস্ট্রির সাথে সাথে, nxdomain.txt ফাইলটি আসে, যা স্ক্রিপ্টের কয়েকটি স্ট্রোকের সাহায্যে সহজেই ঠিকানার উৎসে পরিণত হয়, উদাহরণস্বরূপ, Chrome-এর SwitchyOmega প্লাগইন।

এটিও উল্লেখ করা উচিত যে সমাধানটির জন্য অতিরিক্ত তীক্ষ্ণ করার প্রয়োজন যদি আপনি শুধুমাত্র একজন ইন্টারনেট ব্যবহারকারী না হন, তবে নিজের থেকে কিছু সংস্থানও প্রকাশ করেন (উদাহরণস্বরূপ, একটি ওয়েবসাইট বা মেল সার্ভার এই সংযোগে চলে)। রাউটারের মাধ্যমে, আপনাকে এই পরিষেবা থেকে আপনার সর্বজনীন ঠিকানায় আউটগোয়িং ট্র্যাফিককে হার্ড-বাইন্ড করতে হবে, অন্যথায় আপনি রাউটার দ্বারা প্রাপ্ত উপসর্গগুলির তালিকা দ্বারা আচ্ছাদিত সেই সংস্থানগুলির সাথে সংযোগ হারাবেন৷

আপনার যদি কোন প্রশ্ন থাকে - জিজ্ঞাসা করুন, উত্তর দিতে প্রস্তুত।

ইউপিডি। ধন্যবাদ navion и TerAnYu ডাউনলোড ভলিউম কমাতে গিট-এর বিকল্পগুলির জন্য।

UPD2। সহকর্মীরা, মনে হচ্ছে নিবন্ধটিতে VPS এবং রাউটারের মধ্যে একটি টানেল সেট আপ করার নির্দেশনা যোগ না করে আমি ভুল করেছি। এতে অনেক প্রশ্নের সৃষ্টি হয়।
ঠিক সেই ক্ষেত্রে, আমি আবার নোট করি - এটি ধরে নেওয়া হয় যে এই নির্দেশিকায় পদক্ষেপগুলি শুরু করার আগে, আপনি ইতিমধ্যে আপনার প্রয়োজনীয় দিকটিতে ভিপিএন টানেলটি কনফিগার করেছেন এবং এর কার্যকারিতা পরীক্ষা করেছেন (উদাহরণস্বরূপ, সেখানে ট্র্যাফিককে ডিফল্ট বা স্ট্যাটিকভাবে মোড়ানো)। আপনি যদি এখনও এই পর্যায়টি সম্পূর্ণ না করে থাকেন তবে নিবন্ধ থেকে পদক্ষেপগুলি অনুসরণ করার অর্থ সত্যিই হয় না। এই বিষয়ে আমার নিজের লেখা এখনো নেই, কিন্তু আপনি যদি VPS-এ ইনস্টল করা অপারেটিং সিস্টেমের নামের সাথে "OpenVPN সার্ভার সেটআপ" এবং আপনার রাউটারের নামের সাথে "OpenVPN ক্লায়েন্ট সেটআপ" গুগল করেন, তাহলে সম্ভবত আপনি হাব্রে সহ এই বিষয়ে অনেকগুলি নিবন্ধ পাবেন।

UPD3। অকৃতজ্ঞ একটি কোড লিখেছে যা ডাম্প.সিএসভি থেকে আইপি ঠিকানার ঐচ্ছিক যোগফলের সাথে পাখির জন্য ফলস্বরূপ ফাইল তৈরি করে। অতএব, "রাউটিং পরিষেবার জন্য রেজিস্ট্রি প্রক্রিয়াকরণ" বিভাগটি তার প্রোগ্রামে একটি কল দিয়ে প্রতিস্থাপন করা যেতে পারে। https://habr.com/post/354282/#comment_10782712

UPD4। ত্রুটিগুলির উপর সামান্য কাজ (পাঠ্যটিতে অবদান রাখেনি):
1) পরিবর্তে systemctl পুনরায় লোড পাখি এটি কমান্ড ব্যবহার করার জন্য জ্ঞান করে তোলে birdc কনফিগার.
2) মিক্রোটিক রাউটারে, টানেলের দ্বিতীয় পাশের আইপিতে পরবর্তী-হপ পরিবর্তন করার পরিবর্তে /রাউটিং ফিল্টার অ্যাড অ্যাকশন=অ্যাসেপ্ট চেইন=ডাইনামিক-ইন প্রোটোকল=bgp comment="Set nexthop" set-in-nexthop=172.30.1.1 ঠিকানা ছাড়াই টানেল ইন্টারফেসে সরাসরি রুট নির্দিষ্ট করা বোধগম্য /রাউটিং ফিল্টার অ্যাড অ্যাকশন=অ্যাসেপ্ট চেইন=ডাইনামিক-ইন প্রোটোকল=bgp comment="Set nexthop" set-in-nexthop-direct=<ইন্টারফেস নাম>

UPD5। একটি নতুন পরিষেবা এসেছে https://antifilter.download, যেখান থেকে আপনি আইপি-ঠিকানার রেডিমেড তালিকা নিতে পারবেন। প্রতি আধা ঘন্টা আপডেট করা হয়। ক্লায়েন্টের দিকে, যা অবশিষ্ট থাকে তা হল সংশ্লিষ্ট "রুট ... প্রত্যাখ্যান" সহ এন্ট্রিগুলি ফ্রেম করা।
এবং যে সম্ভবত আমার নানী shag এবং নিবন্ধ আপডেট যথেষ্ট.

UPD6। যারা বুঝতে চান না, কিন্তু শুরু করতে চান তাদের জন্য নিবন্ধটির একটি সংশোধিত সংস্করণ - এখানে.

উত্স: www.habr.com

ব্লকিং বাইপাস করার জন্য BGP সেট আপ করা বা "কীভাবে আমি ভয় পাওয়া বন্ধ করে দিয়ে RKN এর প্রেমে পড়েছিলাম"