Dieser Artikel behandelt nicht die vollständige DPI-Einstellung und alle damit verbundenen Aspekte, und der wissenschaftliche Wert des Textes ist minimal. Aber er beschreibt eine einfache Möglichkeit, die DPI zu umgehen, die viele Unternehmen nicht berücksichtigt haben.
Warnung Nr. 1: Dieser Artikel hat einen forschenden Charakter und ermutigt niemanden, etwas zu unternehmen oder zu verwenden. Die Idee basiert auf persönlicher Erfahrung, und alle Ähnlichkeiten sind zufällig.
Warnung Nr. 2: Im Artikel werden keine Geheimnisse von Atlantis, der Suche nach dem Heiligen Gral und andere Rätsel des Universums aufgedeckt, das gesamte Material ist öffentlich zugänglich und wurde möglicherweise bereits mehrfach auf dem Hub beschrieben. (Ich habe nichts gefunden, für einen Link wäre ich dankbar)
Für die, die die Warnungen gelesen haben, lassen Sie uns beginnen.
Was ist DPI?
DPI oder Deep Packet Inspection ist eine Technologie zur Erfassung statistischer Daten, zur Überprüfung und Filterung von Netzwerkpaketen, indem nicht nur die Header der Pakete, sondern auch der gesamte Inhalt des Datenverkehrs auf den Ebenen des OSI-Modells ab der zweiten Schicht analysiert wird. Dies ermöglicht das Erkennen und Blockieren von Viren sowie das Filtern von Informationen, die nicht den festgelegten Kriterien entsprechen.
Es gibt zwei Typen der DPI-Verbindung, die beschrieben werden :
Passives DPI
DPI, das parallel (nicht in der Schneide) in das Netz des Anbieters angeschlossen ist, entweder über einen passiven optischen Splitter oder durch Spiegelung des ausgehenden Traffics der Benutzer. Solch eine Verbindung verlangsamt die Geschwindigkeit des Anbieternetzes im Falle unzureichender DPI-Leistungsfähigkeit nicht, weshalb sie von großen Anbietern genutzt wird. DPI mit diesem Verbindungstyp kann technisch nur versuchen, den Zugriff auf verbotene Inhalte zu erkennen, aber nicht zu unterbinden. Um diese Einschränkung zu umgehen und den Zugang zu einer gesperrten Website zu blockieren, sendet DPI an den Benutzer, der die gesperrte URL anfordert, ein speziell aufbereitetes HTTP-Paket mit einer Umleitung auf eine Stoppseite des Anbieters, als ob eine solche Antwort von der angeforderten Ressource gesendet worden wäre (die IP-Adresse des Absenders und die TCP-Sequenz wird gefälscht). Da sich die DPI physisch näher am Benutzer befindet als die angeforderte Website, erreicht die gefälschte Antwort das Gerät des Benutzers schneller als die echte Antwort von der Website.
Aktives DPI
Aktiver DPI – ein DPI, das auf herkömmliche Weise mit dem Netz des Anbieters verbunden ist, wie jedes andere Netzwerkgerät. Der Anbieter konfiguriert das Routing so, dass der DPI den Verkehr von Benutzern zu gesperrten IP-Adressen oder Domains erhält, und der DPI trifft dann die Entscheidung, ob der Verkehr durchgelassen oder blockiert wird. Aktiver DPI kann sowohl den ausgehenden als auch den eingehenden Verkehr überprüfen, jedoch, wenn der Anbieter DPI nur zur Blockierung von Websites aus dem Register verwendet, wird es meist so konfiguriert, dass nur der ausgehende Verkehr überprüft wird.
Der Typ der Verbindung beeinflusst nicht nur die Effizienz der Verkehrsblockierung, sondern auch die Belastung des DPI. Daher besteht die Möglichkeit, nicht den gesamten Verkehr, sondern nur einen bestimmten zu überprüfen:
"Normaler" DPI
Unter "normalem" DPI versteht man einen DPI, der einen bestimmten Verkehrstyp nur an den gängigsten Ports für diesen Typ filtert. Zum Beispiel identifiziert und blockiert "normaler" DPI verbotenen HTTP-Verkehr nur am Port 80 und HTTPS-Verkehr am Port 443. Dieser DPI-Typ wird verbotene Inhalte nicht verfolgen, wenn Sie eine Anfrage mit einer gesperrten URL an eine nicht gesperrte IP oder einen nicht standardmäßigen Port senden.
"Vollständiger" DPI
Im Gegensatz zum "normalen" DPI klassifiziert dieser DPI-Typ den Verkehr unabhängig von der IP-Adresse und dem Port. Dadurch werden gesperrte Websites nicht geöffnet, selbst wenn Sie einen Proxy-Server an einem völlig anderen Port und einer nicht gesperrten IP-Adresse verwenden.
Verwendung von DPI
Um die Datenübertragungsrate nicht zu verringern, muss "normaler" passiver DPI verwendet werden, der eine effektive Blockierung beliebiger Ressourcen ermöglicht. Standardmäßig sieht die Konfiguration so aus:
- HTTP nur am Port 80 filtern
- HTTPS nur am Port 443
- BitTorrent nur an den Ports 6881-6889
Die Probleme beginnen jedoch, wenn eine Ressource einen anderen Port verwendet, um Benutzer nicht zu verlieren, dann muss jeder Paket überprüft werden, als Beispiel kann angeführt werden:
- HTTP arbeitet am Port 80 und 8080
- HTTPS am Port 443 und 8443
- BitTorrent in jedem anderen Bereich
Daher bleibt entweder der Wechsel zu "Aktivem" DPI oder die Verwendung von Blockierung durch einen zusätzlichen DNS-Server.
Blockierung durch DNS
Ein Weg, um den Zugriff auf eine Ressource zu blockieren, besteht darin, DNS-Anfragen über einen lokalen DNS-Server abzufangen und dem Benutzer die IP-Adresse eines "Störservers" zurückzugeben, anstatt der gewünschten Ressource. Dies garantiert jedoch kein sicheres Ergebnis, da es die Möglichkeit gibt, die Adressenänderung zu verhindern:
Option 1: Bearbeitung der Hosts-Datei (für Desktop)
Die Hosts-Datei ist ein wesentlicher Bestandteil jedes Betriebssystems, wodurch sie immer genutzt werden kann. Um auf die Ressource zuzugreifen, muss der Benutzer:
- Die IP-Adresse der gewünschten Ressource herausfinden
- Die Hosts-Datei zum Bearbeiten öffnen (Admin-Rechte erforderlich), die sich befindet unter:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
- Eine Zeile im Format hinzufügen:
- Änderungen speichern
Der Vorteil dieser Methode ist ihre Komplexität und dass Administratorrechte erforderlich sind.
Option 2: DoH (DNS über HTTPS) oder DoT (DNS über TLS)
Diese Methoden schützen vor der Manipulation von DNS-Anfragen durch Verschlüsselung, werden jedoch nicht von allen Anwendungen unterstützt. Lassen Sie uns die Einfachheit der DoH-Konfiguration für Mozilla Firefox Version 66 aus der Sicht des Benutzers betrachten:
- Gehe zu der Adresse in Firefox
- Bestätigen, dass der Benutzer alle Risiken übernimmt
- Den Parameterwert ändern network.trr.mode auf:
- 0 — TRR deaktivieren
- 1 — automatische Auswahl
- 2 — DoH standardmäßig aktivieren
- Den Parameter network.trr.uri ändern, indem der DNS-Server ausgewählt wird
- Cloudflare DNS:
- Google DNS:
- Den Parameter network.trr.boostrapAddress auf:
- Wenn Cloudflare DNS gewählt wird: 1.1.1.1
- Wenn Google DNS gewählt wird: 8.8.8.8
- Den Parameterwert ändern network.security.esni.enabled auf true
- Die Richtigkeit der Konfiguration mit
Obwohl diese Methode komplizierter ist, erfordert sie keine Administratorrechte für den Benutzer, und es gibt viele andere Möglichkeiten, die DNS-Anfragen zu schützen, die in diesem Artikel nicht beschrieben sind.
Option 3 (für mobile Geräte):
Verwendung der Cloudflare-App für und .
Tests
Zur Überprüfung, ob der Zugriff auf Ressourcen blockiert wurde, wurde vorübergehend eine Domain erworben, die auf dem Gebiet der Russischen Föderation gesperrt ist:
Fazit
Ich hoffe, dieser Artikel wird nützlich sein und nicht nur Administratoren dazu anregen, sich intensiver mit dem Thema zu befassen, sondern auch das Verständnis fördern, dass Ressourcen immer auf der Seite des Benutzers sein werden und die Suche nach neuen Lösungen ein wesentlicher Bestandteil für sie sein sollte.
Nützliche Links
Ergänzung außerhalb des ArtikelsDer Test bei Cloudflare kann im Netzwerk des Anbieters Tele2 nicht erfolgreich durchgeführt werden, während ein korrekt konfiguriertes DPI den Zugang zur Testplattform blockiert.
P.S. Dies ist bisher der erste Anbieter, der Ressourcen korrekt blockiert.
Quelle: habr.com
