DPI seadistamise omadused

Selles artiklis ei käsitleta DPI täielikku seadistamist ja selle koosseisu, teaduslik väärtus on minimaalne. Siiski kirjeldatakse siin kõige lihtsamat viisi DPI ületamiseks, mida paljud ettevõtted ei arvestanud.

Hoiatus nr 1: see artikkel on uurimuslik ja ei kutsu kedagi midagi ette võtma või kasutama. Idee põhineb isiklikul kogemusel ning kõik kokkulangevused on juhuslikud.

Hoiatus nr 2: artiklis ei avalikustata Atlantise saladusi, Püha Graali otsingut ja teisi universumi mõistatusi; kõik materjalid on vabalt kättesaadavad ja on tõenäoliselt juba varem Habbis kirjeldatud. (Ma ei leidnud, oleksin tänulik viite eest)

Alustame nendele, kes lugesid hoiatustega.

Mis on DPI?

DPI ehk Deep Packet Inspection on tehnoloogia, mis kogub statistilisi andmeid, kontrollib ja filtreerib võrgupakette, analüüsides mitte ainult pakettide päiseid, vaid ka kogu liikluse sisu OSI mudeli teisel ja kõrgemal tasemel, võimaldades avastada ja blokeerida viiruseid ning filtreerida teavet, mis ei vasta kehtestatud kriteeriumidele.

On olemas kaks tüüpi DPI ühendusi, millest on räägitud ValdikSS githubis:

Passiivne DPI

DPI, mis on ühendatud teenusepakkuja võrgus paralleelselt (mitte lõikes) kas passiivse optilise jaoturi kaudu või kasutades kasutajatelt saadud liikluse peegeldamist. Selline ühendus ei aeglusta teenusepakkuja võrgu töökiirus, kui DPI jõudlus ei ole piisav, mistõttu seda kasutatakse suurte teenusepakkujate juures. Sellise ühenduse tüübiga DPI saab tehniliselt ainult usaldusväärselt tuvastada keeldunud sisu küberturbeühenduse katse, kuid ei saa seda takistada. Selle piirangu ületamiseks ja keelatud saidile juurdepääsu blokeerimiseks saadab DPI kasutajale, kes küsib keelatud URL-i, spetsiaalselt koostatud HTTP-paketi, mis suunab teenusepakkuja blokeerimislehele, justkui oleks sellise vastuse saatnud taotletud ressurss (tekitatakse vale IP-aadress ja TCP järjestus). Kuna DPI asub füüsiliselt lähemal kasutajale kui küsitud sait, jõuab vale vastus kasutaja seadmesse kiiremini kui tegelik vastus saidilt.

Aktiivne DPI

Aktiivne DPI on DPI, mis on ühendatud pakkuja võrku tavaliste seadmete kombel. Pakkuja konfigureerib marsruutimise nii, et DPI saaks liiklust kasutajatelt blokeeritud IP-aadressidele või domeenidele, ning DPI otsustab juba, kas lasta liiklust läbi või blokeerida. Aktiivne DPI võib kontrollida nii väljuvat kui ka sisenevat liiklust, kuid kui pakkuja rakendab DPI ainult lehtede blokeerimiseks registrist, konfigureeritakse seda enamasti ainult väljuva liikluse kontrollimiseks.

Ühenduse tüüp mõjutab mitte ainult liikluse blokeerimise efektiivsust, vaid ka DPI koormust, seega on võimalik mitte kontrollida kogu liiklust, vaid ainult teatud:

„Tavaline” DPI

All „tavalise” DPI mõistetakse sellist DPI, mis filtreerib kindlat tüüpi liiklust ainult selle tüübi jaoks kõige levinumatel portidel. Näiteks „tavaline” DPI tuvastab ja blokeerib keelatud HTTP-liiklust ainult 80. porti, HTTPS-liiklust 443. porti. See DPI tüüp ei jälgi keelatud sisu, kui saadate taotluse blokeeritud URL-iga blokeerimata IP- või mittestandardporti.

„Täielik” DPI

Erinevalt „tavalisest” DPI-st klassifitseerib see DPI tüüp liiklust sõltumata IP-aadressist ja portist. Seega ei avane blokeeritud veebilehed, isegi kui kasutate proksiserverit täiesti erineva portaali ja blokeerimata IP-aadressiga.

DPI kasutamine

Andmeedastuse kiirusest mitte tingitud peab kasutama „Tavalist” passiivset DPI, mis võimaldab tõhusalt blokeerida mis tahes ressursse, vaikimisi konfigureerimine näeb välja selline:

• HTTP filtreerida ainult 80. porti
• HTTPS ainult 443. porti
• BitTorrent ainult 6881-6889 portide vahel

Kuid probleemid algavad, kui resurss kasutab teist porti, et mitte kaotada kasutajaid, siis tuleb kontrollida iga paketti, näiteks võib tuua:

• HTTP töötab 80 ja 8080 porti
• HTTPS 443 ja 8443 porti
• BitTorrent mis tahes teises ulatuses

Seetõttu tuleb kas minna üle „Aktiivsele” DPI-le või kasutada blokeerimist täiendava DNS-serveri abil.

Blokeerimine DNS-i abil

Üks viis ressursile juurdepääsu blokeerimiseks on DNS-päringute interceptimine kohaliku DNS-serveri abil ning kasutajale "mätas" IP-aadressi tagastamine nõutud ressursi asemel. Kuid see ei taga kindlat tulemust, kuna on võimalik takistada aadressi asendamist:

Variant 1: Hosts-faili redigeerimine (lauaarvutites)

Hosts-fail on igas operatsioonisüsteemis hädavajalik osa, mis võimaldab alati seda kasutada. Ressursile juurdepääsuks peab kasutaja:

1. Selgitama nõutud ressursi IP-aadressi
2. Ava redigeerimiseks hosts-fail (vajalikud administraatori õigused), mis asub järgmistel aadressidel:
   • Linux: /etc/hosts
   • Windows: %WinDir%System32driversetchosts
3. Lisa rida järgmises formaadis:
4. Salvesta muudatused

Selle meetodi eeliseks on selle keerukus ja vajadus administraatori õiguste järele.

Variant 2: DoH (DNS HTTPS kaudu) või DoT (DNS TLS kaudu)

Need meetodid võimaldavad kaitsta DNS-päringute asendamise eest krüpteerimise kaudu, kuid rakenduse toetus ei ole kõigis rakendustes olemas. Vaatleme DoH-i seadistamise lihtsust Mozilla Firefoxi versioonis 66 kasutaja poolt:

1. Mine aadressile about:config Firefoxis
2. Kinnita, et kasutaja võtab kogu riski peale
3. Muuda parameetri väärtust network.trr.mode selle asemel:
   • 0 — TRR keelamine
   • 1 — automaatne valik
   • 2 — DoH lubamine vaikevalikuna
4. Muuda parameetrit network.trr.uri valides DNS-serveri
   • Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
   • Google DNS: dns.google.com/experimental
5. Muuda parameetrit network.trr.boostrapAddress selle asemel:
   • Kui on valitud Cloudflare DNS: 1.1.1.1
   • Kui on valitud Google DNS: 8.8.8.8
6. Muuda parameetri väärtust network.security.esni.enabled . Tundub, et true
7. Kontrolli seadistuste õigsust Cloudflare teenuse kaudu

Kuigi see viis on keerukam, ei nõua see kasutajalt administraatori õiguseid, samuti on palju muid DNS-päringute kaitse meetodeid, mis ei ole selles artiklis kirjeldatud.

Variant 3 (mobiilseadmete jaoks):

Kasutades Cloudflare'i rakendust Android ja IOS.

Testimine

Ressursside juurdepääsu kontrollimiseks on ajutiselt ostetud domeen, mis on Venemaa territooriumil blokeeritud:

• HTTP kontroll + 80 port
• HTTP kontroll + 8080 port
• HTTPS kontroll + 443 port
• HTTPS kontroll + 8443 port

Kokkuvõte

Loodan, et see artikkel on kasulik ja julgustab mitte ainult administraatoreid süvenema teemas, vaid annab ka arusaama, et ressursid on alati kasutaja poolel ning uute lahenduste leidmine peaks neile olema lahutamatu osa.

Kasulikud lingid

• Encrypted SNI standard rakendamine Firefoxis
• Autonoomne viis DPI ületamiseks

LisaartikkelCloudflare'i testi ei saa Tele2 operaatori võrgus läbida, ning korralikult seadistatud DPI blokeerib juurdepääsu testimisplatvormile.
P.S. See on seni ainus teenusepakkuja, kes õigesti blokeerib ressursse.

Allikas: habr.com