Caractéristiques de la configuration DPI

Cet article ne couvre pas la configuration complète du DPI et tout ce qui y est lié, et la valeur scientifique du texte est minimale. Cependant, il décrit un moyen simple de contourner le DPI, ce que de nombreuses entreprises ont négligé.

Avertissement n°1 : cet article a un caractère de recherche, n'incite personne à entreprendre quoi que ce soit et à utiliser quoi que ce soit. L'idée est basée sur l'expérience personnelle, et toute coïncidence est fortuite.

Avertissement n°2 : l'article ne révèle pas les secrets de l'Atlantide, la recherche du Saint Graal et d'autres mystères de l'univers, tout le matériel est accessible librement et a probablement été décrit plusieurs fois sur le Hub. (je n'ai pas trouvé, je serais reconnaissant pour un lien)

Pour ceux qui ont lu les avertissements, commençons.

Qu'est-ce que le DPI ?

Le DPI ou Deep Packet Inspection est une technologie de collecte de données statistiques, de vérification et de filtrage des paquets réseau en analysant non seulement les en-têtes des paquets, mais aussi le contenu complet du trafic aux niveaux du modèle OSI à partir du deuxième niveau et plus, ce qui permet de détecter et de bloquer les virus, de filtrer l'information ne satisfaisant pas les critères spécifiés.

Il existe deux types de connexion DPI qui sont décrits ValdikSS sur github:

DPI passif

DPI connecté dans le réseau du fournisseur parallèlement (non en série) soit via un séparateur optique passif, soit en utilisant la mise en miroir du trafic sortant des utilisateurs. Ce type de connexion ne ralentit pas la vitesse de travail du réseau du fournisseur en cas d'insuffisance de performance du DPI, raison pour laquelle il est utilisé par les grands fournisseurs. Le DPI avec ce type de connexion peut techniquement seulement détecter une tentative de demande de contenu interdit, mais ne peut pas l'arrêter. Pour contourner cette limitation et bloquer l'accès à un site interdit, le DPI envoie à l'utilisateur demandant une URL bloquée un paquet HTTP spécialement formé redirigeant vers une page de relais du fournisseur, comme si une telle réponse avait été envoyée par la ressource demandée (l'adresse IP de l'expéditeur et la séquence TCP sont falsifiées). Étant donné que le DPI est physiquement plus proche de l'utilisateur que le site demandé, la réponse falsifiée parvient à l'appareil de l'utilisateur plus rapidement que la véritable réponse du site.

DPI actif

DPI actif — DPI connecté au réseau du fournisseur de manière habituelle, comme tout autre appareil réseau. Le fournisseur configure le routage de sorte que le DPI reçoive le trafic des utilisateurs vers des adresses IP ou des domaines bloqués, et le DPI prend ensuite la décision de laisser passer ou de bloquer le trafic. Le DPI actif peut vérifier à la fois le trafic sortant et entrant, cependant, si le fournisseur applique le DPI uniquement pour bloquer des sites de l'annuaire, il est le plus souvent configuré pour vérifier uniquement le trafic sortant.

Le type de connexion influence non seulement l'efficacité du blocage du trafic, mais aussi la charge sur le DPI, c'est pourquoi il est possible de ne pas vérifier tout le trafic, mais uniquement un certain:

DPI « ordinaire »

Par DPI « ordinaire », on entend un DPI qui filtre un certain type de trafic uniquement sur les ports les plus courants pour ce type. Par exemple, le DPI « ordinaire » détecte et bloque le trafic HTTP interdit uniquement sur le port 80, et le trafic HTTPS sur le port 443. Ce type de DPI ne surveillera pas le contenu interdit si vous envoyez une requête avec une URL bloquée vers une IP non bloquée ou un port non standard.

DPI « complet »

Contrairement au DPI « ordinaire », ce type de DPI classe le trafic indépendamment de l'adresse IP et du port. Ainsi, les sites bloqués ne s'ouvriront pas, même si vous utilisez un serveur proxy sur un port complètement différent et une adresse IP non bloquée.

Utilisation du DPI

Pour ne pas réduire la vitesse de transmission des données, il est nécessaire d'utiliser un DPI passif « ordinaire », qui permet de bloquer efficacement tous les ressources. Par défaut, la configuration est la suivante:

• Filtrer HTTP uniquement sur le port 80
• HTTPS uniquement sur le port 443
• BitTorrent uniquement sur les ports 6881-6889

Mais des problèmes commencent si la ressource utilise un autre port, pour ne pas perdre des utilisateurs, alors il faudra vérifier chaque paquet, par exemple:

• HTTP fonctionne sur les ports 80 et 8080
• HTTPS sur les ports 443 et 8443
• BitTorrent sur n'importe quelle autre plage

À cause de cela, il faudra soit passer à un DPI « actif », soit utiliser un blocage via un serveur DNS supplémentaire.

Blocage via DNS

Une des façons de bloquer l'accès à une ressource est d'intercepter la requête DNS à l'aide d'un serveur DNS local et de retourner à l'utilisateur une adresse IP de "placeholder" au lieu de la ressource demandée. Cependant, cela ne garantit pas un résultat sûr, car il existe des moyens d'empêcher le détournement de l'adresse :

Option 1 : Modifier le fichier hosts (pour desktop)

Le fichier hosts est une partie intégrante de tout système d'exploitation, permettant de l'utiliser en permanence. Pour accéder à la ressource, l'utilisateur doit :

1. Connaitre l'adresse IP de la ressource requise
2. Ouvrir le fichier hosts en mode édition (des droits d'administrateur sont nécessaires), situé dans :
   • Linux : /etc/hosts
   • Windows : %WinDir%System32driversetchosts
3. Ajouter une ligne au format :
4. Sauvegarder les modifications

L'avantage de cette méthode est sa complexité et la nécessité de disposer de droits d'administrateur.

Option 2 : DoH (DNS over HTTPS) ou DoT (DNS over TLS)

Ces méthodes permettent de protéger contre le détournement de requêtes DNS grâce au chiffrement, mais leur mise en œuvre n'est pas prise en charge par toutes les applications. Examinons la simplicité de la configuration de DoH pour Mozilla Firefox version 66 du point de vue de l'utilisateur :

1. Accéder à l'adresse about:config dans Firefox
2. Confirmer que l'utilisateur assume tous les risques
3. Modifier la valeur du paramètre network.trr.mode sur :
   • 0 — désactiver TRR
   • 1 — choix automatique
   • 2 — activer DoH par défaut
4. Modifier le paramètre network.trr.uri en choisissant le serveur DNS
   • DNS Cloudflare : mozilla.cloudflare-dns.com/dns-query
   • DNS Google : dns.google.com/experimental
5. Modifier le paramètre network.trr.boostrapAddress sur :
   • Si Cloudflare DNS est sélectionné : 1.1.1.1
   • Si Google DNS est sélectionné : 8.8.8.8
6. Modifier la valeur du paramètre network.security.esni.enabled sur true
7. Vérifier la configuration à l'aide du service Cloudflare

Bien que cette méthode soit plus complexe, elle ne nécessite pas de droits d'administrateur pour l'utilisateur, et il existe de nombreuses autres méthodes de protection des requêtes DNS, non décrites dans cet article.

Option 3 (pour appareils mobiles) :

Utiliser l'application de Cloudflare pour Android et iOS.

Test

Pour vérifier l'absence d'accès à des ressources, un domaine bloqué sur le territoire de la Russie a été temporairement acquis :

• Vérification HTTP + port 80
• Vérification HTTP + port 8080
• Vérification HTTPS + port 443
• Vérification HTTPS + port 8443

Conclusion

J'espère que cet article sera utile et incitera non seulement les administrateurs à approfondir le sujet, mais aussi à faire comprendre que les ressources seront toujours du côté de l'utilisateur, et la recherche de nouvelles solutions devrait faire partie intégrante de ce processus.

Liens utiles

• Mise en œuvre de la norme Encrypted SNI dans Firefox
• Méthode autonome de contournement du DPI

Complément hors articleLe test sur Cloudflare ne peut pas être passé sur le réseau de l'opérateur Tele2, et un DPI correctement configuré bloque l'accès à la plateforme de test.
P.S. C'est le premier fournisseur à bloquer correctement les ressources.

Source : habr.com