বিষয়টা বেশ মার খেয়েছে, আমি জানি। উদাহরণস্বরূপ, একটি মহান আছে একটি নিবন্ধ, কিন্তু ব্লকলিস্টের শুধুমাত্র আইপি অংশ সেখানে বিবেচনা করা হয়। আমরা ডোমেইন যোগ করব।

যে কারণে আদালত এবং RKN ডান এবং বাম সবকিছু ব্লক করে এবং প্রদানকারীরা রেভিজোরোর জারি করা জরিমানার আওতায় না আসার জন্য কঠোর চেষ্টা করছে, ব্লক করা থেকে সংশ্লিষ্ট ক্ষতিগুলি বেশ বড়। এবং "আইনিভাবে" অবরুদ্ধ সাইটগুলির মধ্যে অনেকগুলি দরকারী সাইট রয়েছে (হ্যালো, রুট্রাকার)

আমি আরকেএন-এর এখতিয়ারের বাইরে থাকি, কিন্তু আমার বাবা-মা, আত্মীয়স্বজন এবং বন্ধুরা বাড়িতেই থেকে যান। তাই আইটি থেকে দূরে থাকা লোকেদের জন্য বাইপাস ব্লকিং করার জন্য একটি সহজ উপায় নিয়ে আসার সিদ্ধান্ত নেওয়া হয়েছিল, বিশেষত তাদের অংশগ্রহণ ছাড়াই।

এই নোটে, আমি ধাপে মৌলিক নেটওয়ার্ক জিনিসগুলি বর্ণনা করব না, তবে কীভাবে এই স্কিমটি বাস্তবায়িত করা যেতে পারে তার সাধারণ নীতিগুলি বর্ণনা করব। তাই সাধারণভাবে এবং লিনাক্সে কীভাবে নেটওয়ার্ক কাজ করে সে সম্পর্কে জ্ঞান থাকা আবশ্যক।

তালার প্রকারভেদ

প্রথমে, আসুন আমাদের মেমরি রিফ্রেশ করি যা ব্লক করা হচ্ছে।

RKN থেকে আনলোড করা XML-এ বিভিন্ন ধরনের লক রয়েছে:

• IP
• ডোমেন নাম
• URL টি

সরলতার জন্য, আমরা সেগুলিকে দুটিতে কমিয়ে দেব: আইপি এবং ডোমেন, এবং আমরা কেবলমাত্র ইউআরএল দ্বারা ডোমেনটিকে ব্লক করা থেকে সরিয়ে দেব (আরো স্পষ্টভাবে, তারা ইতিমধ্যে আমাদের জন্য এটি করেছে)।

থেকে ভাল মানুষ Roskomsvoboda একটি বিস্ময়কর উপলব্ধি এপিআই, যার মাধ্যমে আমরা আমাদের যা প্রয়োজন তা পেতে পারি:

• আইপি: https://api.reserve-rbl.ru/api/v2/ips/json
• ডোমেন: https://api.reserve-rbl.ru/api/v2/domains/json

অবরুদ্ধ সাইটগুলিতে অ্যাক্সেস

এটি করার জন্য, আমাদের কিছু ছোট বিদেশী ভিপিএস প্রয়োজন, বিশেষত সীমাহীন ট্রাফিক সহ - এর মধ্যে অনেকগুলি 3-5 টাকার জন্য রয়েছে৷ আপনাকে এটিকে কাছাকাছি বিদেশে নিতে হবে যাতে পিং খুব বড় না হয়, তবে আবার, বিবেচনা করুন যে ইন্টারনেট এবং ভূগোল সর্বদা মিলে যায় না। এবং যেহেতু 5 টাকার জন্য কোনও SLA নেই, তাই দোষ সহনশীলতার জন্য বিভিন্ন প্রদানকারীর থেকে 2+ পিস নেওয়া ভাল।

এর পরে, আমাদের ক্লায়েন্ট রাউটার থেকে VPS-এ একটি এনক্রিপ্ট করা টানেল সেট আপ করতে হবে। আমি ওয়্যারগার্ডকে দ্রুততম এবং সেট আপ করার জন্য সবচেয়ে সহজ হিসাবে ব্যবহার করি৷ আমার কাছে লিনাক্সের উপর ভিত্তি করে ক্লায়েন্ট রাউটারও আছে (APU2 অথবা OpenWRT-তে কিছু)। কিছু Mikrotik/Cisco-এর ক্ষেত্রে, আপনি OpenVPN এবং GRE-over-IPSEC-এর মতো তাদের উপর উপলব্ধ প্রোটোকল ব্যবহার করতে পারেন।

শনাক্তকরণ এবং আগ্রহের ট্রাফিকের পুনর্নির্দেশ

আপনি, অবশ্যই, বিদেশী দেশের মাধ্যমে সমস্ত ইন্টারনেট ট্র্যাফিক বন্ধ করতে পারেন। কিন্তু, সম্ভবত, স্থানীয় বিষয়বস্তুর সাথে কাজ করার গতি এটি থেকে ব্যাপকভাবে ক্ষতিগ্রস্ত হবে। এছাড়াও, VPS-এ ব্যান্ডউইথের প্রয়োজনীয়তা অনেক বেশি হবে।

অতএব, আমাদের কোনভাবে অবরুদ্ধ সাইটগুলিতে ট্র্যাফিক বরাদ্দ করতে হবে এবং বেছে বেছে এটি টানেলের দিকে নিয়ে যেতে হবে। এমনকি যদি কিছু "অতিরিক্ত" ট্র্যাফিক সেখানে যায়, তবুও এটি সুড়ঙ্গ দিয়ে সবকিছু চালানোর চেয়ে অনেক ভালো।

ট্রাফিক পরিচালনা করতে, আমরা BGP প্রোটোকল ব্যবহার করব এবং আমাদের VPS থেকে ক্লায়েন্টদের জন্য প্রয়োজনীয় নেটওয়ার্কের রুট ঘোষণা করব। BIRD কে সবচেয়ে কার্যকরী এবং সুবিধাজনক BGP ডেমন হিসেবে ধরা যাক।

IP

IP দ্বারা ব্লক করার সাথে, সবকিছু পরিষ্কার: আমরা কেবল VPS এর সাথে সমস্ত ব্লক করা আইপি ঘোষণা করি। সমস্যা হল যে তালিকায় প্রায় 600 হাজার সাবনেট রয়েছে যা API ফেরত দেয় এবং তাদের বেশিরভাগই /32 হোস্ট। এই সংখ্যক রুট দুর্বল ক্লায়েন্ট রাউটারকে বিভ্রান্ত করতে পারে।

তাই, তালিকা প্রক্রিয়া করার সময়, 24 বা তার বেশি হোস্ট থাকলে /2 নেটওয়ার্ক পর্যন্ত সংক্ষিপ্ত করার সিদ্ধান্ত নেওয়া হয়েছিল। এইভাবে, রুটের সংখ্যা ~ 100 হাজারে হ্রাস পেয়েছে। এর জন্য স্ক্রিপ্ট অনুসরণ করা হবে.

ডোমেনগুলি

এটা আরো জটিল এবং বিভিন্ন উপায় আছে. উদাহরণস্বরূপ, আপনি প্রতিটি ক্লায়েন্ট রাউটারে একটি স্বচ্ছ স্কুইড ইনস্টল করতে পারেন এবং সেখানে HTTP ইন্টারসেপশন করতে পারেন এবং প্রথম ক্ষেত্রে অনুরোধ করা URL এবং দ্বিতীয় ক্ষেত্রে SNI থেকে ডোমেন পাওয়ার জন্য TLS হ্যান্ডশেকের মধ্যে উঁকি দিতে পারেন৷

কিন্তু সব ধরনের নতুন TLS1.3 + eSNI-এর কারণে, HTTPS বিশ্লেষণ প্রতিদিন কম-বেশি বাস্তব হয়ে উঠছে। হ্যাঁ, এবং ক্লায়েন্ট পক্ষের অবকাঠামো আরও জটিল হয়ে উঠছে - আপনাকে অন্তত OpenWRT ব্যবহার করতে হবে।

অতএব, আমি ডিএনএস প্রশ্নের উত্তরগুলিকে বাধা দেওয়ার পথ নেওয়ার সিদ্ধান্ত নিয়েছি। এখানেও, যেকোনো DNS-ওভার-TLS/HTTPS আপনার মাথার উপরে ঘুরতে শুরু করে, কিন্তু আমরা (এখনকার জন্য) ক্লায়েন্টে এই অংশটিকে নিয়ন্ত্রণ করতে পারি - হয় এটি নিষ্ক্রিয় করতে পারি বা DoT/DH এর জন্য আপনার নিজস্ব সার্ভার ব্যবহার করতে পারি।

কিভাবে DNS আটকাতে?

এখানেও বেশ কিছু পন্থা থাকতে পারে।

• PCAP বা NFLOG এর মাধ্যমে DNS ট্র্যাফিকের বাধা
  বাধার এই উভয় পদ্ধতিই ইউটিলিটিতে প্রয়োগ করা হয় sidmat. কিন্তু এটি দীর্ঘ সময়ের জন্য সমর্থিত হয়নি এবং কার্যকারিতা খুব আদিম, তাই আপনাকে এখনও এটির জন্য একটি জোতা লিখতে হবে।
• DNS সার্ভার লগ বিশ্লেষণ
  দুর্ভাগ্যবশত, আমার পরিচিত পুনরাবৃত্তরা প্রতিক্রিয়া লগ করতে সক্ষম নয়, কিন্তু শুধুমাত্র অনুরোধ। নীতিগতভাবে, এটি যৌক্তিক, যেহেতু, অনুরোধের বিপরীতে, উত্তরগুলির একটি জটিল কাঠামো রয়েছে এবং সেগুলি পাঠ্য আকারে লেখা কঠিন।
• DNSTap
  সৌভাগ্যবশত, তাদের মধ্যে অনেকেই ইতিমধ্যে এই উদ্দেশ্যে DNSTap সমর্থন করে।

DNSTap কি?

এটি একটি ক্লায়েন্ট-সার্ভার প্রোটোকল যা প্রোটোকল বাফার এবং ফ্রেম স্ট্রীমগুলির উপর ভিত্তি করে একটি DNS সার্ভার থেকে কাঠামোগত DNS প্রশ্ন এবং প্রতিক্রিয়াগুলির সংগ্রাহকের কাছে স্থানান্তর করার জন্য। মূলত, ডিএনএস সার্ভার ক্যোয়ারী এবং রেসপন্স মেটাডেটা (বার্তার ধরন, ক্লায়েন্ট/সার্ভার আইপি, ইত্যাদি) এবং সম্পূর্ণ ডিএনএস বার্তা প্রেরণ করে (বাইনারী) ফর্মে যেখানে এটি নেটওয়ার্কে তাদের সাথে কাজ করে।

এটা বোঝা গুরুত্বপূর্ণ যে DNSTap দৃষ্টান্তে, DNS সার্ভার একটি ক্লায়েন্ট হিসাবে কাজ করে এবং সংগ্রাহক একটি সার্ভার হিসাবে কাজ করে। অর্থাৎ, ডিএনএস সার্ভার সংগ্রাহকের সাথে সংযোগ করে, এবং উল্টো নয়।

আজ DNSTap সমস্ত জনপ্রিয় DNS সার্ভারে সমর্থিত। কিন্তু, উদাহরণস্বরূপ, অনেক ডিস্ট্রিবিউশনে BIND (যেমন উবুন্টু এলটিএস) প্রায়শই এটির সমর্থন ছাড়াই কোনও কারণে তৈরি করা হয়। সুতরাং আসুন পুনরায় সংযোজন নিয়ে বিরক্ত না হয়ে বরং একটি হালকা এবং দ্রুত রিকারসার নিন - আনবাউন্ড।

কিভাবে DNSTap ধরবেন?

আছে কিছু সংখ্যা DNSTap ইভেন্টগুলির একটি স্ট্রিমের সাথে কাজ করার জন্য CLI ইউটিলিটিগুলি, কিন্তু সেগুলি আমাদের সমস্যা সমাধানের জন্য উপযুক্ত নয়৷ অতএব, আমি আমার নিজের সাইকেল আবিষ্কার করার সিদ্ধান্ত নিয়েছি যা প্রয়োজনীয় সবকিছু করবে: dnstap-bgp

কাজের অ্যালগরিদম:

• চালু হলে, এটি একটি পাঠ্য ফাইল থেকে ডোমেনের একটি তালিকা লোড করে, সেগুলিকে উল্টে দেয় (habr.com -> com.habr), ভাঙা লাইন, ডুপ্লিকেট এবং সাবডোমেনগুলি বাদ দেয় (যেমন যদি তালিকায় habr.com এবং www.habr.com থাকে, এটি শুধুমাত্র প্রথমটি লোড করা হবে) এবং এই তালিকার মাধ্যমে দ্রুত অনুসন্ধানের জন্য একটি উপসর্গ গাছ তৈরি করে
• একটি DNSTap সার্ভার হিসাবে কাজ করে, এটি একটি DNS সার্ভার থেকে একটি সংযোগের জন্য অপেক্ষা করে। নীতিগতভাবে, এটি ইউনিক্স এবং টিসিপি উভয় সকেটকে সমর্থন করে, তবে আমি জানি যে ডিএনএস সার্ভারগুলি শুধুমাত্র ইউনিক্স সকেট ব্যবহার করতে পারে
• ইনকামিং DNSTap প্যাকেটগুলি প্রথমে একটি Protobuf কাঠামোতে ডিসিরিয়ালাইজ করা হয়, এবং তারপর বাইনারি DNS বার্তাটি, প্রোটোবাফ ক্ষেত্রের একটিতে অবস্থিত, DNS RR রেকর্ডের স্তরে পার্স করা হয়।
• অনুরোধ করা হোস্ট (বা এর মূল ডোমেন) লোড করা তালিকায় আছে কিনা তা পরীক্ষা করা হয়, যদি না হয়, প্রতিক্রিয়া উপেক্ষা করা হয়
• প্রতিক্রিয়া থেকে শুধুমাত্র A/AAAA/CNAME RRs নির্বাচন করা হয় এবং সংশ্লিষ্ট IPv4/IPv6 ঠিকানাগুলি তাদের থেকে বের করা হয়
• IP ঠিকানাগুলি কনফিগারযোগ্য TTL দিয়ে ক্যাশে করা হয় এবং সমস্ত কনফিগার করা BGP সহকর্মীদের কাছে বিজ্ঞাপন দেওয়া হয়
• একটি ইতিমধ্যে ক্যাশে আইপি নির্দেশ করে একটি প্রতিক্রিয়া প্রাপ্ত করার সময়, এর TTL আপডেট করা হয়৷
• TTL মেয়াদ শেষ হওয়ার পরে, ক্যাশে এবং BGP ঘোষণা থেকে এন্ট্রি সরানো হয়

অতিরিক্ত কার্যকারিতা:

• SIGHUP দ্বারা ডোমেনের তালিকা পুনরায় পড়া
• অন্যান্য উদাহরণের সাথে সিঙ্কে ক্যাশে রাখা dnstap-bgp HTTP/JSON এর মাধ্যমে
• পুনঃসূচনা করার পরে এর বিষয়বস্তু পুনরুদ্ধার করতে ডিস্কে ক্যাশে (বোল্টডিবি ডাটাবেসে) নকল করুন
• একটি ভিন্ন নেটওয়ার্ক নেমস্পেসে স্যুইচ করার জন্য সমর্থন (কেন এটির প্রয়োজন নীচে বর্ণনা করা হবে)
• IPv6 সমর্থন

সীমাবদ্ধতা:

• IDN ডোমেইন এখনও সমর্থিত নয়
• কয়েকটি BGP সেটিংস

আমি সংগ্রহ করেছি RPM এবং DEB সহজ ইনস্টলেশনের জন্য প্যাকেজ। সিস্টেমড সহ সমস্ত তুলনামূলকভাবে সাম্প্রতিক ওএসে কাজ করা উচিত। তাদের কোন নির্ভরতা নেই।

এই প্রকল্পটি

সুতরাং, আসুন একসাথে সমস্ত উপাদান একত্রিত করা শুরু করি। ফলস্বরূপ, আমাদের এই নেটওয়ার্ক টপোলজির মতো কিছু পাওয়া উচিত:

কাজের যুক্তি, আমি মনে করি, চিত্র থেকে স্পষ্ট:

• ক্লায়েন্ট আমাদের সার্ভারটি ডিএনএস হিসাবে কনফিগার করেছে এবং ডিএনএস প্রশ্নগুলিও ভিপিএন-এর উপরে যেতে হবে। এটি প্রয়োজনীয় যাতে প্রদানকারী ব্লক করতে DNS ইন্টারসেপশন ব্যবহার করতে না পারে।
• সাইট খোলার সময়, ক্লায়েন্ট একটি DNS ক্যোয়ারী পাঠায় যেমন "xxx.org-এর IPs কি"
• শিথিল xxx.org সমাধান করে (অথবা এটি ক্যাশে থেকে নেয়) এবং ক্লায়েন্টকে একটি প্রতিক্রিয়া পাঠায় “xxx.org-এর অমুক আইপি আছে”, এটি DNSTap-এর মাধ্যমে সমান্তরালভাবে নকল করে
• dnstap-bgp এই ঠিকানাগুলি ঘোষণা করে পাখি BGP এর মাধ্যমে যদি ডোমেইনটি ব্লক করা তালিকায় থাকে
• পাখি এই আইপিগুলির সাথে একটি রুটের বিজ্ঞাপন দেয় next-hop self ক্লায়েন্ট রাউটার
• ক্লায়েন্ট থেকে এই আইপিগুলিতে পরবর্তী প্যাকেটগুলি টানেলের মধ্য দিয়ে যায়

সার্ভারে, ব্লক করা সাইটগুলির রুটের জন্য, আমি BIRD-এর ভিতরে একটি পৃথক টেবিল ব্যবহার করি এবং এটি কোনোভাবেই OS-এর সাথে ছেদ করে না।

এই স্কিমের একটি ত্রুটি রয়েছে: ক্লায়েন্টের কাছ থেকে প্রথম SYN প্যাকেট, সম্ভবত, গার্হস্থ্য সরবরাহকারীর মাধ্যমে ছেড়ে যাওয়ার সময় থাকবে। রুট অবিলম্বে ঘোষণা করা হয় না. এবং প্রদানকারী কীভাবে ব্লকিং করে তার উপর নির্ভর করে এখানে বিকল্পগুলি সম্ভব। সে যদি শুধু ট্রাফিক ড্রপ করে, তাহলে কোনো সমস্যা নেই। এবং যদি তিনি এটিকে কিছু ডিপিআইতে পুনঃনির্দেশ করেন, তবে (তাত্ত্বিকভাবে) বিশেষ প্রভাবগুলি সম্ভব।

এটাও সম্ভব যে ক্লায়েন্টরা DNS TTL অলৌকিকতাকে সম্মান করে না, যার কারণে ক্লায়েন্ট আনবাউন্ড জিজ্ঞাসা করার পরিবর্তে তার পচা ক্যাশে থেকে কিছু বাসি এন্ট্রি ব্যবহার করতে পারে।

অনুশীলনে, প্রথম বা দ্বিতীয়টি আমার জন্য সমস্যা সৃষ্টি করেনি, তবে আপনার মাইলেজ পরিবর্তিত হতে পারে।

সার্ভার টিউনিং

রোলিং সহজ করার জন্য, আমি লিখেছিলাম উত্তরযোগ্য জন্য ভূমিকা. এটি লিনাক্সের উপর ভিত্তি করে সার্ভার এবং ক্লায়েন্ট উভয় কনফিগার করতে পারে (ডেব-ভিত্তিক বিতরণের জন্য ডিজাইন করা হয়েছে)। সমস্ত সেটিংস বেশ স্পষ্ট এবং সেট করা আছে inventory.yml. এই ভূমিকাটি আমার বড় প্লেবুক থেকে কাটা হয়েছে, তাই এতে ত্রুটি থাকতে পারে - অনুরোধ টানুন স্বাগতম 🙂

এর প্রধান উপাদান মাধ্যমে যান.

বিজিপি

একই হোস্টে দুটি বিজিপি ডেমন চালানোর একটি মৌলিক সমস্যা রয়েছে: বার্ড লোকালহোস্ট (বা কোনো স্থানীয় ইন্টারফেস) এর সাথে বিজিপি পিয়ারিং সেট আপ করতে চায় না। একেবারে শব্দ থেকে। গুগলিং এবং মেলিং-তালিকা পড়া সাহায্য করেনি, তারা দাবি করে যে এটি ডিজাইন দ্বারা। সম্ভবত কিছু উপায় আছে, কিন্তু আমি এটি খুঁজে পাইনি.

আপনি অন্য BGP ডেমন চেষ্টা করতে পারেন, কিন্তু আমি BIRD পছন্দ করি এবং এটি আমার দ্বারা সর্বত্র ব্যবহৃত হয়, আমি সত্তা তৈরি করতে চাই না।

তাই, আমি নেটওয়ার্ক নেমস্পেসের ভিতরে dnstap-bgp লুকিয়ে রেখেছিলাম, যা ভেথ ইন্টারফেসের মাধ্যমে রুটের সাথে সংযুক্ত: এটি একটি পাইপের মতো, যার প্রান্তগুলি বিভিন্ন নামস্থানে আটকে থাকে। এই প্রতিটি প্রান্তে, আমরা ব্যক্তিগত p2p আইপি ঠিকানাগুলি ঝুলিয়ে রাখি যেগুলি হোস্টের বাইরে যায় না, তাই সেগুলি যেকোনো কিছু হতে পারে। এটি ভিতরের প্রক্রিয়াগুলি অ্যাক্সেস করতে ব্যবহৃত একই প্রক্রিয়া সবার কাছে প্রিয় ডকার এবং অন্যান্য পাত্রে।

এ জন্য লেখা হয়েছে লিপি এবং dnstap-bgp-এ চুল দিয়ে নিজেকে টেনে নিয়ে যাওয়ার জন্য উপরে বর্ণিত কার্যকারিতা যোগ করা হয়েছে। এই কারণে, এটি অবশ্যই রুট হিসাবে চালাতে হবে বা সেটক্যাপ কমান্ডের মাধ্যমে CAP_SYS_ADMIN বাইনারিতে জারি করতে হবে।

নেমস্পেস তৈরির জন্য উদাহরণ স্ক্রিপ্ট

#!/bin/bash

NS="dtap"

IP="/sbin/ip"
IPNS="$IP netns exec $NS $IP"

IF_R="veth-$NS-r"
IF_NS="veth-$NS-ns"

IP_R="192.168.149.1"
IP_NS="192.168.149.2"

/bin/systemctl stop dnstap-bgp || true

$IP netns del $NS > /dev/null 2>&1
$IP netns add $NS

$IP link add $IF_R type veth peer name $IF_NS
$IP link set $IF_NS netns $NS

$IP addr add $IP_R remote $IP_NS dev $IF_R
$IP link set $IF_R up

$IPNS addr add $IP_NS remote $IP_R dev $IF_NS
$IPNS link set $IF_NS up

/bin/systemctl start dnstap-bgp

dnstap-bgp.conf

namespace = "dtap"
domains = "/var/cache/rkn_domains.txt"
ttl = "168h"

[dnstap]
listen = "/tmp/dnstap.sock"
perm = "0666"

[bgp]
as = 65000
routerid = "192.168.149.2"

peers = [
    "192.168.149.1",
]

bird.conf

router id 192.168.1.1;

table rkn;

# Clients
protocol bgp bgp_client1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.2 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    export all;
    import none;
}

# DNSTap-BGP
protocol bgp bgp_dnstap {
    table rkn;
    local as 65000;
    neighbor 192.168.149.2 as 65000;
    direct;
    passive on;
    rr client;
    import all;
    export none;
}

# Static routes list
protocol static static_rkn {
    table rkn;
    include "rkn_routes.list";
    import all;
    export none;
}

rkn_routes.list

route 3.226.79.85/32 via "ens3";
route 18.236.189.0/24 via "ens3";
route 3.224.21.0/24 via "ens3";
...

ডিএনএস

ডিফল্টরূপে, উবুন্টুতে, আনবাউন্ড বাইনারি অ্যাপআর্মর প্রোফাইল দ্বারা ক্ল্যাম্প করা হয়, যা এটিকে সব ধরণের DNSTap সকেটের সাথে সংযোগ করতে নিষেধ করে। আপনি হয় এই প্রোফাইল মুছে ফেলতে পারেন, অথবা এটি নিষ্ক্রিয় করতে পারেন:

# cd /etc/apparmor.d/disable && ln -s ../usr.sbin.unbound .
# apparmor_parser -R /etc/apparmor.d/usr.sbin.unbound

এটি সম্ভবত প্লেবুকে যোগ করা উচিত। প্রোফাইলটি সংশোধন করা এবং প্রয়োজনীয় অধিকার জারি করা অবশ্যই আদর্শ, তবে আমি খুব অলস ছিলাম।

unbound.conf

server:
    chroot: ""
    port: 53
    interface: 0.0.0.0
    root-hints: "/var/lib/unbound/named.root"
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    access-control: 192.168.0.0/16 allow

remote-control:
    control-enable: yes
    control-use-cert: no

dnstap:
    dnstap-enable: yes
    dnstap-socket-path: "/tmp/dnstap.sock"
    dnstap-send-identity: no
    dnstap-send-version: no

    dnstap-log-client-response-messages: yes

তালিকা ডাউনলোড এবং প্রক্রিয়াকরণ

আইপি ঠিকানাগুলির একটি তালিকা ডাউনলোড এবং প্রক্রিয়াকরণের জন্য স্ক্রিপ্ট
এটি তালিকা ডাউনলোড করে, উপসর্গ পর্যন্ত যোগ করে পিএফএক্স। দ্য যোগ করবেন না и সারসংক্ষেপ করবেন না আপনি আইপি এবং নেটওয়ার্কগুলিকে এড়িয়ে যেতে বা সংক্ষিপ্ত করতে বলতে পারেন৷ এটা আমার দরকার. আমার ভিপিএসের সাবনেট ব্লকলিস্টে ছিল 🙂

মজার বিষয় হল যে RosKomSvoboda API ডিফল্ট পাইথন ব্যবহারকারী এজেন্টের সাথে অনুরোধগুলি ব্লক করে। মনে হচ্ছে স্ক্রিপ্ট-কিডি এটা পেয়েছে। অতএব, আমরা এটিকে ওগনেলিসে পরিবর্তন করি।

এখন পর্যন্ত, এটি শুধুমাত্র IPv4 এর সাথে কাজ করে। IPv6 এর শেয়ার ছোট, কিন্তু এটা ঠিক করা সহজ হবে। যদি না আপনি bird6 ব্যবহার করতে হবে.

rkn.py

#!/usr/bin/python3

import json, urllib.request, ipaddress as ipa

url = 'https://api.reserve-rbl.ru/api/v2/ips/json'
pfx = '24'

dont_summarize = {
    # ipa.IPv4Network('1.1.1.0/24'),
}

dont_add = {
    # ipa.IPv4Address('1.1.1.1'),
}

req = urllib.request.Request(
    url,
    data=None, 
    headers={
        'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.47 Safari/537.36'
    }
)

f = urllib.request.urlopen(req)
ips = json.loads(f.read().decode('utf-8'))

prefix32 = ipa.IPv4Address('255.255.255.255')

r = {}
for i in ips:
    ip = ipa.ip_network(i)
    if not isinstance(ip, ipa.IPv4Network):
        continue

    addr = ip.network_address

    if addr in dont_add:
        continue

    m = ip.netmask
    if m != prefix32:
        r[m] = [addr, 1]
        continue

    sn = ipa.IPv4Network(str(addr) + '/' + pfx, strict=False)

    if sn in dont_summarize:
        tgt = addr
    else:
        tgt = sn

    if not sn in r:
        r[tgt] = [addr, 1]
    else:
        r[tgt][1] += 1

o = []
for n, v in r.items():
    if v[1] == 1:
        o.append(str(v[0]) + '/32')
    else:
        o.append(n)

for k in o:
    print(k)

আপডেট করার জন্য স্ক্রিপ্ট
আমি এটি দিনে একবার মুকুটে চালাই, সম্ভবত এটি প্রতি 4 ঘন্টায় টানতে হবে। এটি, আমার মতে, RKN প্রদানকারীদের কাছ থেকে যে পুনর্নবীকরণের সময় প্রয়োজন। এছাড়াও, তাদের আরও কিছু অতি-জরুরি ব্লকিং রয়েছে, যা দ্রুত পৌঁছাতে পারে।

নিম্নলিখিতগুলি করে:

• প্রথম স্ক্রিপ্ট চালায় এবং রুটের তালিকা আপডেট করে (rkn_routes.list) BIRD এর জন্য
• BIRD পুনরায় লোড করুন
• dnstap-bgp-এর জন্য ডোমেনের তালিকা আপডেট করে এবং পরিষ্কার করে
• dnstap-bgp পুনরায় লোড করুন

rkn_update.sh

#!/bin/bash

ROUTES="/etc/bird/rkn_routes.list"
DOMAINS="/var/cache/rkn_domains.txt"

# Get & summarize routes
/opt/rkn.py | sed 's/(.*)/route 1 via "ens3";/' > $ROUTES.new

if [ $? -ne 0 ]; then
    rm -f $ROUTES.new
    echo "Unable to download RKN routes"
    exit 1
fi

if [ -e $ROUTES ]; then
    mv $ROUTES $ROUTES.old
fi

mv $ROUTES.new $ROUTES

/bin/systemctl try-reload-or-restart bird

# Get domains
curl -s https://api.reserve-rbl.ru/api/v2/domains/json -o - | jq -r '.[]' | sed 's/^*.//' | sort | uniq > $DOMAINS.new

if [ $? -ne 0 ]; then
    rm -f $DOMAINS.new
    echo "Unable to download RKN domains"
    exit 1
fi

if [ -e $DOMAINS ]; then
    mv $DOMAINS $DOMAINS.old
fi

mv $DOMAINS.new $DOMAINS

/bin/systemctl try-reload-or-restart dnstap-bgp

সেগুলি অনেক চিন্তাভাবনা ছাড়াই লেখা হয়েছিল, তাই আপনি যদি এমন কিছু দেখতে পান যা উন্নত করা যেতে পারে - এটির জন্য যান।

ক্লায়েন্ট সেটআপ

এখানে আমি লিনাক্স রাউটারগুলির জন্য উদাহরণ দেব, তবে Mikrotik/Cisco এর ক্ষেত্রে এটি আরও সহজ হওয়া উচিত।

প্রথমত, আমরা BIRD সেট আপ করি:

bird.conf

router id 192.168.1.2;
table rkn;

protocol device {
    scan time 10;
};

# Servers
protocol bgp bgp_server1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.1 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    rr client;
    export none;
    import all;
}

protocol kernel {
    table rkn;
    kernel table 222;
    scan time 10;
    export all;
    import none;
}

এইভাবে, আমরা কার্নেল রাউটিং টেবিল নম্বর 222 এর সাথে BGP থেকে প্রাপ্ত রুটগুলিকে সিঙ্ক্রোনাইজ করব।

এর পরে, ডিফল্টটি দেখার আগে কার্নেলকে এই প্লেটটি দেখতে বলা যথেষ্ট:

# ip rule add from all pref 256 lookup 222
# ip rule
0:  from all lookup local
256:    from all lookup 222
32766:  from all lookup main
32767:  from all lookup default

সবকিছু, সার্ভারের টানেল আইপি ঠিকানাটি ডিএনএস হিসাবে বিতরণ করার জন্য রাউটারে DHCP কনফিগার করা বাকি রয়েছে এবং স্কিমটি প্রস্তুত।

ভুলত্রুটি

ডোমেনগুলির তালিকা তৈরি এবং প্রক্রিয়াকরণের জন্য বর্তমান অ্যালগরিদম সহ, এটি অন্যান্য জিনিসগুলির মধ্যে অন্তর্ভুক্ত করে, youtube.com এবং এর CDN.

এবং এটি এই সত্যের দিকে পরিচালিত করে যে সমস্ত ভিডিও VPN এর মাধ্যমে যাবে, যা পুরো চ্যানেলকে আটকাতে পারে। সম্ভবত এটি জনপ্রিয় ডোমেন-বর্জনের একটি তালিকা সংকলন করা মূল্যবান যা আপাতত RKN ব্লক করে, সাহস পাতলা। এবং পার্স করার সময় সেগুলি এড়িয়ে যান।

উপসংহার

বর্ণিত পদ্ধতিটি আপনাকে প্রদানকারীরা বর্তমানে প্রয়োগ করা প্রায় কোনও ব্লকিং বাইপাস করতে দেয়।

নীতিমালা, dnstap-bgp অন্য কোন উদ্দেশ্যে ব্যবহার করা যেতে পারে যেখানে ডোমেইন নামের উপর ভিত্তি করে কিছু স্তরের ট্রাফিক নিয়ন্ত্রণ প্রয়োজন। শুধু মনে রাখবেন যে আমাদের সময়ে, এক হাজার সাইট একই আইপি ঠিকানায় (উদাহরণস্বরূপ, কিছু ক্লাউডফ্লেয়ারের পিছনে) ঝুলতে পারে, তাই এই পদ্ধতিটির যথার্থতা কম।

কিন্তু লক বাইপাস করার প্রয়োজনের জন্য, এটি বেশ যথেষ্ট।

সংযোজন, সম্পাদনা, অনুরোধ টানুন - স্বাগতম!

উত্স: www.habr.com