Ang hilisgutan medyo gikulata, nahibal-an ko. Pananglitan, adunay usa ka dako nga artikulo, apan ang IP nga bahin lamang sa blocklist ang gikonsiderar didto. Magdugang usab kami og mga domain.

Tungod sa kamatuoran nga gibabagan sa mga korte ug sa RKN ang tanan sa tuo ug wala, ug ang mga tighatag naningkamot pag-ayo nga dili mahulog sa ilalum sa mga multa nga gi-isyu ni Revizorro, ang mga kauban nga pagkawala gikan sa pag-block dako kaayo. Ug taliwala sa mga "subay sa balaod" nga gibabagan nga mga site adunay daghang mga mapuslanon (hello, rutracker)

Nagpuyo ko sa gawas sa hurisdiksyon sa RKN, apan ang akong mga ginikanan, mga paryente ug mga higala nagpabilin sa balay. Mao nga nakahukom nga maghimo usa ka dali nga paagi alang sa mga tawo nga layo sa IT aron makalikay sa pag-block, labi na kung wala ang ilang pag-apil.

Niini nga nota, dili nako ihulagway ang sukaranan nga mga butang sa network sa mga lakang, apan ihulagway ang kinatibuk-ang mga prinsipyo kung giunsa kini nga laraw mahimo’g ipatuman. Mao nga ang kahibalo kung giunsa ang paglihok sa network sa kinatibuk-an ug sa partikular sa Linux kinahanglan nga adunay.

Mga matang sa mga kandado

Una, atong i-refresh ang atong panumduman kung unsa ang gibabagan.

Adunay pipila ka mga matang sa mga kandado sa wala gikarga nga XML gikan sa RKN:

IP
Ngalan sa Domain
URL

Alang sa kayano, among pakunhuran sila sa duha: IP ug domain, ug kuhaon ra namon ang domain gikan sa pag-block sa URL (mas tukma, nahimo na nila kini alang kanamo).

maayong mga tawo gikan Roskomsvoboda nakaamgo sa usa ka talagsaon API, diin atong makuha ang atong gikinahanglan:

IP: https://api.reserve-rbl.ru/api/v2/ips/json
Mga natad: https://api.reserve-rbl.ru/api/v2/domains/json

Pag-access sa gibabagan nga mga site

Aron mahimo kini, kinahanglan namon ang pipila ka gamay nga langyaw nga VPS, labi na nga adunay walay kutub nga trapiko - adunay daghan niini alang sa 3-5 nga mga salapi. Kinahanglan nimo kini dad-on sa duol sa gawas sa nasud aron ang ping dili kaayo dako, apan pag-usab, tagda nga ang Internet ug geograpiya dili kanunay nga magkatakdo. Ug tungod kay walay SLA alang sa 5 ka bucks, mas maayo nga kuhaon ang 2+ ka piraso gikan sa lain-laing mga providers alang sa fault tolerance.

Sunod, kinahanglan namon nga magbutang usa ka naka-encrypt nga tunel gikan sa router sa kliyente hangtod sa VPS. Gigamit nako ang Wireguard isip pinakapaspas ug sayon nga pag-set up. Ako usab adunay mga kliyente nga router nga gibase sa Linux (APU2 o usa ka butang sa OpenWRT). Sa kaso sa pipila nga Mikrotik / Cisco, mahimo nimong gamiton ang mga protocol nga magamit sa kanila sama sa OpenVPN ug GRE-over-IPSEC.

Pag-ila ug pag-redirect sa trapiko sa interes

Mahimo nimo, siyempre, i-off ang tanan nga trapiko sa Internet pinaagi sa mga langyaw nga nasud. Apan, lagmit, ang katulin sa pagtrabaho sa lokal nga sulud mag-antos pag-ayo niini. Dugang pa, ang mga kinahanglanon sa bandwidth sa VPS mas taas.

Busa, kinahanglan natong igahin ang trapiko sa mga naka-block nga mga site ug pilion nga idirekta kini sa tunel. Bisan kung ang pipila sa "dugang" nga trapiko moabut didto, kini labi ka maayo kaysa pagmaneho sa tanan sa tunel.

Aron pagdumala sa trapiko, among gamiton ang BGP protocol ug ipahibalo ang mga ruta sa gikinahanglan nga mga network gikan sa among VPS ngadto sa mga kliyente. Atong kuhaon ang BIRD isip usa sa labing magamit ug sayon nga BGP nga mga daemon.

IP

Sa pag-block sa IP, klaro ang tanan: gipahibalo ra namon ang tanan nga gibabagan nga mga IP nga adunay VPS. Ang problema mao nga adunay mga 600 ka libo nga mga subnet sa lista nga gibalik sa API, ug ang kadaghanan niini mga /32 nga host. Kini nga gidaghanon sa mga ruta makalibog sa huyang nga mga router sa kliyente.

Busa, kung giproseso ang lista, nakahukom nga i-summarize hangtod sa network / 24 kung kini adunay 2 o daghan pa nga mga host. Busa, ang gidaghanon sa mga ruta gikunhoran ngadto sa ~100 ka libo. Ang script alang niini mosunod.

Mga dominyo

Kini mas komplikado ug adunay daghang mga paagi. Pananglitan, mahimo nimong i-install ang usa ka transparent nga Squid sa matag router sa kliyente ug buhaton ang interception sa HTTP didto ug tan-awon ang TLS handshake aron makuha ang gihangyo nga URL sa una nga kaso ug ang domain gikan sa SNI sa ikaduha.

Apan tungod sa tanang matang sa bag-ong TLS1.3 + eSNI, ang pag-analisa sa HTTPS nahimong dili kaayo tinuod kada adlaw. Oo, ug ang imprastraktura sa bahin sa kliyente nahimong labi ka komplikado - kinahanglan nimo nga mogamit labing menos OpenWRT.

Busa, nakahukom ko sa pagsubay sa dalan sa pagsanta sa mga tubag sa mga hangyo sa DNS. Dinhi, usab, ang bisan unsang DNS-over-TLS / HTTPS nagsugod sa pag-hover sa imong ulo, apan mahimo namon (sa pagkakaron) makontrol kini nga bahin sa kliyente - mahimo’g i-disable kini o gamiton ang imong kaugalingon nga server para sa DoT / DoH.

Unsaon pag-intercept ang DNS?

Dinhi, usab, mahimong adunay daghang mga pamaagi.

Pagpugong sa trapiko sa DNS pinaagi sa PCAP o NFLOG
Ang duha niini nga mga pamaagi sa interception kay gipatuman sa utility sidmat. Apan wala kini gisuportahan sa dugay nga panahon ug ang pag-andar labi ka primitive, mao nga kinahanglan nimo nga magsulat usa ka harness alang niini.
Pag-analisar sa mga log sa DNS server
Ikasubo, ang mga recursor nga nahibal-an nako dili makahimo sa pag-log sa mga tubag, apan mga hangyo lamang. Sa prinsipyo, kini makatarunganon, tungod kay, dili sama sa mga hangyo, ang mga tubag adunay usa ka komplikado nga istruktura ug lisud ang pagsulat niini sa porma sa teksto.
DNSTap
Maayo na lang, daghan kanila ang nagsuporta sa DNSTap alang niini nga katuyoan.

Unsa ang DNSTap?

Kini usa ka client-server protocol nga gibase sa Protocol Buffers ug Frame Streams alang sa pagbalhin gikan sa DNS server ngadto sa usa ka collector sa structured DNS nga mga pangutana ug mga tubag. Sa panguna, ang DNS server nagpadala sa pangutana ug tubag nga metadata (matang sa mensahe, kliyente / server IP, ug uban pa) ug kompleto nga mga mensahe sa DNS sa (binary) nga porma diin kini nagtrabaho uban kanila sa network.

Importante nga masabtan nga sa DNSTap paradigm, ang DNS server naglihok isip usa ka kliyente ug ang kolektor naglihok isip usa ka server. Kana mao, ang DNS server nagkonektar sa kolektor, ug dili vice versa.

Karon ang DNSTap gisuportahan sa tanan nga sikat nga DNS server. Apan, pananglitan, ang BIND sa daghang mga pag-apod-apod (sama sa Ubuntu LTS) kanunay nga gitukod alang sa usa ka hinungdan nga wala’y suporta. Mao nga dili ta maghasol sa pag-reassembly, apan pagkuha sa usa ka mas gaan ug mas paspas nga recursor - Wala'y bugkos.

Unsaon pagdakop sa DNSTap?

Adunay ang uban kantidad CLI utilities alang sa pagtrabaho uban sa usa ka stream sa DNSTap mga panghitabo, apan sila dili angay sa pagsulbad sa atong problema. Busa, nakahukom ko nga mag-imbento sa akong kaugalingong bisikleta nga mobuhat sa tanan nga gikinahanglan: dnstap-bgp

Algoritmo sa pagtrabaho:

Kung gilusad, nagkarga kini og lista sa mga dominyo gikan sa usa ka text file, gibalit-ad kini (habr.com -> com.habr), wala iapil ang mga putol-putol nga linya, mga duplicate ug mga subdomain (pananglitan, kung ang listahan adunay habr.com ug www.habr.com, kini ikarga lamang sa una) ug magtukod ug prefix tree alang sa paspas nga pagpangita niini nga lista
Naglihok isip DNSTap server, naghulat kini og koneksyon gikan sa DNS server. Sa prinsipyo, gisuportahan niini ang UNIX ug TCP sockets, apan ang DNS server nga akong nahibal-an makagamit lang sa UNIX sockets.
Ang umaabot nga DNSTap packets una nga deserialized ngadto sa usa ka Protobuf structure, ug dayon ang binary DNS nga mensahe mismo, nga nahimutang sa usa sa mga Protobuf fields, gi-parse sa lebel sa DNS RR records.
Gisusi kung ang gihangyo nga host (o ang parent domain niini) naa sa gi-load nga lista, kung dili, ang tubag dili tagdon
Ang mga A/AAAA/CNAME RR lang ang gipili gikan sa tubag ug ang katugbang nga IPv4/IPv6 nga mga adres gikuha gikan kanila
Ang mga adres sa IP gi-cache gamit ang ma-configure nga TTL ug gi-anunsyo sa tanan nga na-configure nga mga kauban sa BGP
Kung makadawat usa ka tubag nga nagtudlo sa usa ka na-cache na IP, ang TTL niini gi-update
Pagkahuman sa TTL, ang entry gikuha gikan sa cache ug gikan sa mga anunsyo sa BGP

Dugang nga gamit:

Pagbasa pag-usab sa listahan sa mga dominyo pinaagi sa SIGHUP
Pagpadayon sa cache sa pag-sync sa ubang mga higayon dnstap-bgp pinaagi sa HTTP/JSON
Doblehin ang cache sa disk (sa database sa BoltDB) aron mabalik ang mga sulud niini pagkahuman sa pagsugod
Suporta alang sa pagbalhin ngadto sa lain nga namespace sa network (nganong gikinahanglan kini ihulagway sa ubos)
IPv6 nga suporta

Mga limitasyon:

Ang mga domain sa IDN wala pa gisuportahan
Pipila ka mga setting sa BGP

gikolekta nako RPM ug DEB mga pakete alang sa dali nga pag-instalar. Kinahanglan nga magtrabaho sa tanan nga bag-o nga mga OS nga adunay systemd. wala silay mga dependency.

Ang laraw

Busa, magsugod kita sa pag-assemble sa tanan nga mga sangkap. Ingon usa ka sangputanan, kinahanglan nga makakuha kita usa ka butang nga sama niini nga topology sa network:

Ang lohika sa trabaho, sa akong hunahuna, klaro gikan sa diagram:

Gi-configure sa kliyente ang among server ingon DNS, ug ang mga pangutana sa DNS kinahanglan usab nga moadto sa VPN. Kini gikinahanglan aron ang provider dili makagamit sa DNS interception aron babagan.
Kung giablihan ang site, ang kliyente nagpadala usa ka pangutana sa DNS sama sa "unsa ang mga IP sa xxx.org"
mabugkos nga gisulbad ang xxx.org (o gikuha kini gikan sa cache) ug nagpadala usa ka tubag sa kliyente "Ang xxx.org adunay ingon ug ingon niana nga IP", pagdoble niini nga managsama pinaagi sa DNSTap
dnstap-bgp nagpahibalo niini nga mga adres sa KINAHANGLAN pinaagi sa BGP kung ang domain naa sa gibabagan nga lista
KINAHANGLAN nag-anunsyo sa usa ka ruta sa kini nga mga IP nga adunay next-hop self kliyente nga router
Ang sunod nga mga pakete gikan sa kliyente hangtod sa kini nga mga IP moagi sa tunel

Sa server, alang sa mga ruta sa mga gibabagan nga mga site, naggamit ako usa ka bulag nga lamesa sa sulod sa BIRD ug wala kini mag-intersect sa OS sa bisan unsang paagi.

Kini nga laraw adunay usa ka disbentaha: ang una nga SYN packet gikan sa kliyente, lagmit, adunay oras nga mobiya pinaagi sa domestic provider. wala dayon ipahibalo ang ruta. Ug dinhi posible ang mga kapilian depende kung giunsa ang pag-block sa provider. Kon mopahuway lang siya sa traffic, way problema. Ug kung iyang i-redirect kini sa pipila ka DPI, nan (theoretically) ang mga espesyal nga epekto posible.

Posible usab nga ang mga kliyente dili motahod sa DNS TTL nga mga milagro, nga mahimong hinungdan sa kliyente nga mogamit sa pipila ka mga stale entries gikan sa dunot nga cache niini imbes nga mangutana sa Unbound.

Sa praktis, dili ang una o ang ikaduha ang hinungdan sa mga problema alang kanako, apan ang imong mileage mahimong magkalainlain.

Pag-tune sa Server

Para sa kadali sa pagligid, nagsulat ko papel alang sa Ansible. Mahimo kini nga i-configure ang mga server ug kliyente base sa Linux (gidisenyo alang sa mga distribusyon nga nakabase sa deb). Ang tanan nga mga setting klaro kaayo ug gipahimutang imbentaryo.yml. Kini nga tahas giputol gikan sa akong dako nga playbook, aron kini adunay mga sayup - pagbawi sa mga hangyo welcome :)

Atong susihon ang mga nag-unang sangkap.

Ang BGP

Ang pagpadagan sa duha ka BGP daemon sa parehas nga host adunay sukaranan nga problema: Dili gusto sa BIRD nga i-set up ang BGP peering sa localhost (o bisan unsang lokal nga interface). Gikan sa pulong sa tanan. Ang pag-googling ug pagbasa sa mga mailing-list wala makatabang, giangkon nila nga kini pinaagi sa laraw. Tingali adunay usa ka paagi, apan wala nako kini makit-an.

Mahimo nimong sulayan ang lain nga BGP nga daemon, apan gusto ko ang BIRD ug kini gigamit bisan diin nako, dili ko gusto nga maghimo mga entidad.

Busa, akong gitagoan ang dnstap-bgp sulod sa network namespace, nga konektado sa gamut pinaagi sa veth interface: kini sama sa usa ka tubo, ang mga tumoy niini mipilit sa lain-laing mga namespaces. Sa matag usa niini nga mga tumoy, among gibitay ang mga pribadong p2p IP nga mga adres nga dili molapas sa host, aron kini mahimong bisan unsa. Kini ang parehas nga mekanismo nga gigamit aron ma-access ang mga proseso sa sulod gihigugma sa tanan Docker ug uban pang mga sudlanan.

Alang niini kini nahisulat script ug ang gamit nga gihulagway na sa ibabaw para sa pag-drag sa imong kaugalingon pinaagi sa buhok ngadto sa laing namespace gidugang sa dnstap-bgp. Tungod niini, kinahanglan kini ipadagan ingon gamut o i-isyu sa CAP_SYS_ADMIN binary pinaagi sa setcap command.

Pananglitan nga script alang sa paghimo sa namespace

#!/bin/bash

NS="dtap"

IP="/sbin/ip"
IPNS="$IP netns exec $NS $IP"

IF_R="veth-$NS-r"
IF_NS="veth-$NS-ns"

IP_R="192.168.149.1"
IP_NS="192.168.149.2"

/bin/systemctl stop dnstap-bgp || true

$IP netns del $NS > /dev/null 2>&1
$IP netns add $NS

$IP link add $IF_R type veth peer name $IF_NS
$IP link set $IF_NS netns $NS

$IP addr add $IP_R remote $IP_NS dev $IF_R
$IP link set $IF_R up

$IPNS addr add $IP_NS remote $IP_R dev $IF_NS
$IPNS link set $IF_NS up

/bin/systemctl start dnstap-bgp

dnstap-bgp.conf

namespace = "dtap"
domains = "/var/cache/rkn_domains.txt"
ttl = "168h"

[dnstap]
listen = "/tmp/dnstap.sock"
perm = "0666"

[bgp]
as = 65000
routerid = "192.168.149.2"

peers = [
    "192.168.149.1",
]

langgam.conf

router id 192.168.1.1;

table rkn;

# Clients
protocol bgp bgp_client1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.2 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    export all;
    import none;
}

# DNSTap-BGP
protocol bgp bgp_dnstap {
    table rkn;
    local as 65000;
    neighbor 192.168.149.2 as 65000;
    direct;
    passive on;
    rr client;
    import all;
    export none;
}

# Static routes list
protocol static static_rkn {
    table rkn;
    include "rkn_routes.list";
    import all;
    export none;
}

rkn_routes.list

route 3.226.79.85/32 via "ens3";
route 18.236.189.0/24 via "ens3";
route 3.224.21.0/24 via "ens3";
...

DNS

Sa kasagaran, sa Ubuntu, ang Unbound binary gi-clamp sa AppArmor profile, nga nagdili niini sa pagkonektar sa tanang matang sa DNSTap sockets. Mahimo nimong papason kini nga profile, o i-disable kini:

# cd /etc/apparmor.d/disable && ln -s ../usr.sbin.unbound .
# apparmor_parser -R /etc/apparmor.d/usr.sbin.unbound

Tingali kini kinahanglan nga idugang sa playbook. Kini mao ang sulundon, siyempre, sa pagtul-id sa profile ug sa pag-isyu sa gikinahanglan nga mga katungod, apan ako tapolan kaayo.

unbound.conf

server:
    chroot: ""
    port: 53
    interface: 0.0.0.0
    root-hints: "/var/lib/unbound/named.root"
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    access-control: 192.168.0.0/16 allow

remote-control:
    control-enable: yes
    control-use-cert: no

dnstap:
    dnstap-enable: yes
    dnstap-socket-path: "/tmp/dnstap.sock"
    dnstap-send-identity: no
    dnstap-send-version: no

    dnstap-log-client-response-messages: yes

Pag-download ug pagproseso sa mga lista

Script para sa pag-download ug pagproseso sa listahan sa mga IP address
Gi-download niini ang lista, gisumada sa prefix pfx. ang ayaw_dugang и ayaw_i-summarize masulti nimo ang mga IP ug network nga laktawan o dili i-summarize. Gikinahanglan ko kini. ang subnet sa akong VPS naa sa blocklist 🙂

Ang kataw-anan mao nga ang RosKomSvoboda API nag-block sa mga hangyo gamit ang default nga ahente sa tiggamit sa Python. Morag nakuha kini sa script-kiddy. Busa, usbon namo kini ngadto sa Ognelis.

Sa pagkakaron, kini nagtrabaho lamang sa IPv4. ang bahin sa IPv6 gamay ra, apan kini dali nga ayohon. Gawas kung kinahanglan nimo gamiton ang bird6 usab.

rkn.py

#!/usr/bin/python3

import json, urllib.request, ipaddress as ipa

url = 'https://api.reserve-rbl.ru/api/v2/ips/json'
pfx = '24'

dont_summarize = {
    # ipa.IPv4Network('1.1.1.0/24'),
}

dont_add = {
    # ipa.IPv4Address('1.1.1.1'),
}

req = urllib.request.Request(
    url,
    data=None, 
    headers={
        'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.47 Safari/537.36'
    }
)

f = urllib.request.urlopen(req)
ips = json.loads(f.read().decode('utf-8'))

prefix32 = ipa.IPv4Address('255.255.255.255')

r = {}
for i in ips:
    ip = ipa.ip_network(i)
    if not isinstance(ip, ipa.IPv4Network):
        continue

    addr = ip.network_address

    if addr in dont_add:
        continue

    m = ip.netmask
    if m != prefix32:
        r[m] = [addr, 1]
        continue

    sn = ipa.IPv4Network(str(addr) + '/' + pfx, strict=False)

    if sn in dont_summarize:
        tgt = addr
    else:
        tgt = sn

    if not sn in r:
        r[tgt] = [addr, 1]
    else:
        r[tgt][1] += 1

o = []
for n, v in r.items():
    if v[1] == 1:
        o.append(str(v[0]) + '/32')
    else:
        o.append(n)

for k in o:
    print(k)

Script aron ma-update
Gipadagan ko kini sa korona kausa sa usa ka adlaw, tingali takus kini sa pagbira matag 4 ka oras. kini, sa akong opinyon, mao ang panahon sa pagbag-o nga gikinahanglan sa RKN gikan sa mga provider. Dugang pa, aduna silay uban pang mga super-dinalian nga pag-block, nga mahimong mas paspas nga moabut.

Nagbuhat sa mosunod:

Gipadagan ang unang script ug gi-update ang listahan sa mga rota (rkn_routes.list) para sa BIRD
I-reload ang BIRD
Pag-update ug paglimpyo sa lista sa mga domain para sa dnstap-bgp
I-reload ang dnstap-bgp

rkn_update.sh

#!/bin/bash

ROUTES="/etc/bird/rkn_routes.list"
DOMAINS="/var/cache/rkn_domains.txt"

# Get & summarize routes
/opt/rkn.py | sed 's/(.*)/route 1 via "ens3";/' > $ROUTES.new

if [ $? -ne 0 ]; then
    rm -f $ROUTES.new
    echo "Unable to download RKN routes"
    exit 1
fi

if [ -e $ROUTES ]; then
    mv $ROUTES $ROUTES.old
fi

mv $ROUTES.new $ROUTES

/bin/systemctl try-reload-or-restart bird

# Get domains
curl -s https://api.reserve-rbl.ru/api/v2/domains/json -o - | jq -r '.[]' | sed 's/^*.//' | sort | uniq > $DOMAINS.new

if [ $? -ne 0 ]; then
    rm -f $DOMAINS.new
    echo "Unable to download RKN domains"
    exit 1
fi

if [ -e $DOMAINS ]; then
    mv $DOMAINS $DOMAINS.old
fi

mv $DOMAINS.new $DOMAINS

/bin/systemctl try-reload-or-restart dnstap-bgp

Gisulat kini nga wala’y daghang paghunahuna, busa kung nakakita ka usa ka butang nga mahimo’g mapaayo - lakaw alang niini.

Pag-setup sa kliyente

Dinhi maghatag ako mga pananglitan alang sa mga router sa Linux, apan sa kaso sa Mikrotik / Cisco kini kinahanglan nga labi ka dali.

Una, among gi-set up ang BIRD:

langgam.conf

router id 192.168.1.2;
table rkn;

protocol device {
    scan time 10;
};

# Servers
protocol bgp bgp_server1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.1 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    rr client;
    export none;
    import all;
}

protocol kernel {
    table rkn;
    kernel table 222;
    scan time 10;
    export all;
    import none;
}

Sa ingon, among i-synchronize ang mga ruta nga nadawat gikan sa BGP sa kernel routing table number 222.

Pagkahuman niana, igo na nga pangutan-on ang kernel nga tan-awon kini nga plato sa dili pa tan-awon ang default:

# ip rule add from all pref 256 lookup 222
# ip rule
0:  from all lookup local
256:    from all lookup 222
32766:  from all lookup main
32767:  from all lookup default

Ang tanan, nagpabilin nga i-configure ang DHCP sa router aron ipang-apod-apod ang tunnel IP address sa server ingon DNS, ug andam na ang laraw.

mga kakulangan

Uban sa kasamtangan nga algorithm alang sa pagmugna ug pagproseso sa listahan sa mga domain, kini naglakip, sa taliwala sa ubang mga butang, youtube.com ug ang mga CDN niini.

Ug kini nagdala sa kamatuoran nga ang tanan nga mga video moagi sa VPN, nga mahimong makabara sa tibuuk nga channel. Tingali kini angayan nga mag-compile sa usa ka lista sa mga sikat nga domain-exclusion nga nagbabag sa RKN sa pagkakaron, ang mga guts nipis. Ug laktawan sila kung mag-parse.

konklusyon

Ang gihulagway nga pamaagi nagtugot kanimo sa pag-bypass sa halos bisan unsang blocking nga gipatuman karon sa mga providers.

Sa panguna, dnstap-bgp mahimong gamiton alang sa bisan unsa nga lain nga katuyoan diin ang pipila nga lebel sa pagkontrol sa trapiko gikinahanglan base sa ngalan sa domain. Hinumdomi nga sa atong panahon, ang usa ka libo nga mga site mahimong magbitay sa parehas nga IP address (sa luyo sa pipila nga Cloudflare, pananglitan), mao nga kini nga pamaagi adunay gamay nga katukma.

Apan alang sa mga panginahanglan sa pag-bypass sa mga kandado, kini igo na.

Mga pagdugang, pag-edit, paghangyo sa pagbitad - welcome!

Source: www.habr.com

Bypass ILV blocking gamit ang DNSTap ug BGP