ગરીબ અને આળસુ અસંતુષ્ટો તરફથી Iptables અને ફિલ્ટરિંગ ટ્રાફિક

પ્રતિબંધિત સંસાધનોની મુલાકાતોને અવરોધિત કરવાની સુસંગતતા કોઈપણ પ્રબંધકને અસર કરે છે કે જેના પર કાયદા અથવા સંબંધિત સત્તાવાળાઓના આદેશોનું પાલન કરવામાં નિષ્ફળતા માટે સત્તાવાર રીતે આરોપ મૂકવામાં આવી શકે છે.

જ્યારે અમારા કાર્યો માટે વિશિષ્ટ પ્રોગ્રામ્સ અને ડિસ્ટ્રિબ્યુશન હોય ત્યારે વ્હીલને શા માટે ફરીથી શોધો, ઉદાહરણ તરીકે: Zeroshell, pfSense, ClearOS.

મેનેજમેન્ટને બીજો પ્રશ્ન હતો: શું વપરાયેલ ઉત્પાદનમાં આપણા રાજ્યનું સલામતી પ્રમાણપત્ર છે?

અમને નીચેના વિતરણો સાથે કામ કરવાનો અનુભવ હતો:

• ઝીરોશેલ - વિકાસકર્તાઓએ 2-વર્ષનું લાઇસન્સ પણ દાનમાં આપ્યું હતું, પરંતુ તે બહાર આવ્યું છે કે અમને જે ડિસ્ટ્રિબ્યુશન કીટમાં રસ હતો, તે અતાર્કિક રીતે અમારા માટે મહત્વપૂર્ણ કાર્ય કરે છે;
• pfSense - આદર અને સન્માન, તે જ સમયે કંટાળાજનક, ફ્રીબીએસડી ફાયરવોલની કમાન્ડ લાઇનની આદત પાડવી અને આપણા માટે પૂરતી અનુકૂળ નથી (મને લાગે છે કે તે આદતની બાબત છે, પરંતુ તે ખોટી રીતે બહાર આવ્યું);
• ClearOS - અમારા હાર્ડવેર પર તે ખૂબ જ ધીમું હોવાનું બહાર આવ્યું, અમે ગંભીર પરીક્ષણ કરી શક્યા નથી, તો આવા ભારે ઇન્ટરફેસ શા માટે?
• Ideco SELECTA. Ideco ઉત્પાદન એ એક અલગ વાર્તાલાપ છે, એક રસપ્રદ ઉત્પાદન છે, પરંતુ રાજકીય કારણોસર અમારા માટે નથી, અને હું તેમને સમાન Linux, Roundcube, વગેરે માટેના લાયસન્સ વિશે "ડંખવા" માંગું છું. તેઓને ક્યાંથી વિચાર આવ્યો કે ઇન્ટરફેસને કાપીને પાયથોન અને સુપરયુઝર અધિકારો છીનવીને, તેઓ GPL&etc હેઠળ વિતરિત ઈન્ટરનેટ સમુદાયમાંથી વિકસિત અને સંશોધિત મોડ્યુલોથી બનેલું તૈયાર ઉત્પાદન વેચી શકે છે.

હું સમજું છું કે હવે નકારાત્મક ઉદ્ગારો મારી વ્યક્તિલક્ષી લાગણીઓને વિગતવાર સાબિત કરવાની માંગ સાથે મારી દિશામાં રેડશે, પરંતુ હું કહેવા માંગુ છું કે આ નેટવર્ક નોડ ઇન્ટરનેટની 4 બાહ્ય ચેનલો માટે ટ્રાફિક બેલેન્સર પણ છે, અને દરેક ચેનલની પોતાની લાક્ષણિકતાઓ છે. . અન્ય પાયાનો પથ્થર વિવિધ સરનામાં સ્થાનોમાં કામ કરવા માટે ઘણા નેટવર્ક ઇન્ટરફેસમાંથી એકની જરૂરિયાત હતી, અને I તૈયાર સ્વીકારો કે VLAN નો ઉપયોગ જ્યાં પણ જરૂરી હોય અને જરૂરી ન હોય ત્યાં થઈ શકે છે તૈયાર નથી. ત્યાં ઉપયોગમાં લેવાતા ઉપકરણો છે જેમ કે TP-Link TL-R480T+ - તેઓ સામાન્ય રીતે, તેમની પોતાની ઘોંઘાટ સાથે સંપૂર્ણ રીતે વર્તે નહીં. ઉબુન્ટુ અધિકૃત વેબસાઇટને આભારી Linux પર આ ભાગને ગોઠવવાનું શક્ય હતું IP સંતુલન: એકમાં ઘણી ઈન્ટરનેટ ચેનલોનું સંયોજન. તદુપરાંત, દરેક ચેનલ કોઈપણ ક્ષણે "પડી શકે છે", તેમજ વધી શકે છે. જો તમને એવી સ્ક્રિપ્ટમાં રસ છે જે હાલમાં કાર્યરત છે (અને આ એક અલગ પ્રકાશન માટે યોગ્ય છે), તો ટિપ્પણીઓમાં લખો.

વિચારણા હેઠળનું સોલ્યુશન અનન્ય હોવાનો દાવો કરતું નથી, પરંતુ હું પ્રશ્ન પૂછવા માંગુ છું: "જ્યારે વૈકલ્પિક વિકલ્પ પર વિચાર કરી શકાય ત્યારે ગંભીર હાર્ડવેર આવશ્યકતાઓ સાથે એન્ટરપ્રાઇઝ તૃતીય-પક્ષ શંકાસ્પદ ઉત્પાદનોને શા માટે સ્વીકારવી જોઈએ?"

જો રશિયન ફેડરેશનમાં રોસ્કોમનાડઝોરની સૂચિ છે, તો યુક્રેનમાં રાષ્ટ્રીય સુરક્ષા પરિષદના નિર્ણય સાથે જોડાણ છે (ઉદાહરણ તરીકે. જોયેલું), તો સ્થાનિક નેતાઓ પણ ઊંઘતા નથી. ઉદાહરણ તરીકે, અમને પ્રતિબંધિત સાઇટ્સની સૂચિ આપવામાં આવી હતી, જે મેનેજમેન્ટના મતે, કાર્યસ્થળમાં ઉત્પાદકતાને નબળી પાડે છે.

અન્ય એન્ટરપ્રાઈઝમાં સહકાર્યકરો સાથે વાતચીત કરીને, જ્યાં મૂળભૂત રીતે બધી સાઇટ્સ પ્રતિબંધિત છે અને ફક્ત બોસની પરવાનગી સાથે વિનંતી પર તમે ચોક્કસ સાઇટને ઍક્સેસ કરી શકો છો, આદરપૂર્વક હસતાં, વિચારીને અને "સમસ્યા પર ધૂમ્રપાન કરો", અમને સમજાયું કે જીવન હજુ પણ સારું છે અને અમે તેમની શોધ શરૂ કરી છે.

ટ્રાફિક ફિલ્ટરિંગ વિશે "ગૃહિણીઓના પુસ્તકો" માં તેઓ શું લખે છે તે વિશ્લેષણાત્મક રીતે જોવાની તક મળતાં, પણ વિવિધ પ્રદાતાઓની ચેનલો પર શું થઈ રહ્યું છે તે જોવાની પણ તક મળતાં, અમે નીચેની વાનગીઓ નોંધી (કોઈપણ સ્ક્રીનશૉટ્સ થોડા કાપેલા છે, કૃપા કરીને પૂછતી વખતે સમજો):

પ્રદાતા 1
- તેના પોતાના DNS સર્વર્સ અને પારદર્શક પ્રોક્સી સર્વરને પરેશાન કરતું નથી અને લાદતું નથી. સારું?.. પરંતુ અમને જ્યાં તેની જરૂર હોય ત્યાં અમારી પાસે ઍક્સેસ છે (જો અમને તેની જરૂર હોય તો :))

પ્રદાતા 2
- માને છે કે તેના ટોચના પ્રદાતાએ આ વિશે વિચારવું જોઈએ, ટોચના પ્રદાતાના તકનીકી સપોર્ટે પણ સ્વીકાર્યું કે શા માટે હું મારી જોઈતી સાઇટ ખોલી શક્યો નહીં, જે પ્રતિબંધિત ન હતી. મને લાગે છે કે ચિત્ર તમને આનંદિત કરશે :)

જેમ જેમ તે બહાર આવ્યું છે, તેઓ પ્રતિબંધિત સાઇટ્સના નામોને IP સરનામાઓમાં અનુવાદિત કરે છે અને IP ને જ અવરોધિત કરે છે (તેઓ એ હકીકતથી પરેશાન નથી કે આ IP સરનામું 20 સાઇટ્સ હોસ્ટ કરી શકે છે).

પ્રદાતા 3
— ટ્રાફિકને ત્યાં જવાની મંજૂરી આપે છે, પરંતુ તેને રૂટ પર પાછા જવા દેતું નથી.

પ્રદાતા 4
- ઉલ્લેખિત દિશામાં પેકેટો સાથેના તમામ મેનિપ્યુલેશન્સને પ્રતિબંધિત કરે છે.

VPN (ઓપેરા બ્રાઉઝરના સંદર્ભમાં) અને બ્રાઉઝર પ્લગિન્સનું શું કરવું? પહેલા નોડ મિક્રોટિક સાથે રમતા, અમને L7 માટે એક સંસાધન-સઘન રેસીપી પણ મળી, જે પછીથી અમારે છોડી દેવી પડી (ત્યાં વધુ પ્રતિબંધિત નામો હોઈ શકે છે, તે દુઃખદાયક બને છે જ્યારે, રૂટ માટેની તેની સીધી જવાબદારીઓ ઉપરાંત, 3 ડઝન પર અભિવ્યક્તિઓ PPC460GT પ્રોસેસર લોડ 100% સુધી જાય છે).

.

શું સ્પષ્ટ થયું:
127.0.0.1 પરનો DNS એ એકદમ રામબાણ ઉપાય નથી; બ્રાઉઝર્સના આધુનિક સંસ્કરણો હજી પણ તમને આવી સમસ્યાઓને બાયપાસ કરવાની મંજૂરી આપે છે. બધા વપરાશકર્તાઓને ઘટાડેલા અધિકારો સુધી મર્યાદિત કરવું અશક્ય છે, અને આપણે વૈકલ્પિક DNS ની વિશાળ સંખ્યા વિશે ભૂલવું જોઈએ નહીં. ઈન્ટરનેટ સ્થિર નથી, અને નવા DNS સરનામાંઓ ઉપરાંત, પ્રતિબંધિત સાઇટ્સ નવા સરનામાં ખરીદે છે, ઉચ્ચ-સ્તરના ડોમેન્સ બદલી શકે છે અને તેમના સરનામાંમાં કોઈ અક્ષર ઉમેરી/દૂર કરી શકે છે. પરંતુ હજી પણ કંઈક જીવવાનો અધિકાર છે જેમ કે:

ip route add blackhole 1.2.3.4

પ્રતિબંધિત સાઇટ્સની સૂચિમાંથી IP સરનામાંની સૂચિ મેળવવી તે ખૂબ અસરકારક રહેશે, પરંતુ ઉપર જણાવેલ કારણોસર, અમે Iptables વિશે વિચારણાઓ તરફ આગળ વધીએ છીએ. CentOS Linux રિલીઝ 7.5.1804 પર પહેલેથી જ લાઇવ બેલેન્સર હતું.

વપરાશકર્તાનું ઇન્ટરનેટ ઝડપી હોવું જોઈએ, અને બ્રાઉઝરે અડધી મિનિટ રાહ જોવી જોઈએ નહીં, આ નિષ્કર્ષ પર કે આ પૃષ્ઠ ઉપલબ્ધ નથી. લાંબી શોધ પછી અમે આ મોડેલ પર આવ્યા:
ફાઇલ 1 -> /script/denied_host, પ્રતિબંધિત નામોની યાદી:

test.test
blablabla.bubu
torrent
porno

ફાઇલ 2 -> /script/denied_range, પ્રતિબંધિત સરનામાં સ્થાનો અને સરનામાંઓની સૂચિ:

192.168.111.0/24
241.242.0.0/16

સ્ક્રિપ્ટ ફાઇલ 3 -> ipt.shipables સાથે કામ કરવું:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

સુડોનો ઉપયોગ એ હકીકતને કારણે છે કે અમારી પાસે WEB ઇન્ટરફેસ દ્વારા મેનેજ કરવા માટે એક નાનો હેક છે, પરંતુ એક વર્ષથી વધુ સમયથી આવા મોડેલનો ઉપયોગ કરવાનો અનુભવ દર્શાવે છે કે, WEB એટલું જરૂરી નથી. અમલીકરણ પછી, ડેટાબેઝ વગેરેમાં સાઇટ્સની સૂચિ ઉમેરવાની ઇચ્છા હતી. અવરોધિત હોસ્ટની સંખ્યા 250 + એક ડઝન સરનામાં સ્પેસ કરતાં વધુ છે. https કનેક્શન દ્વારા સાઇટ પર જતી વખતે ખરેખર સમસ્યા છે, જેમ કે સિસ્ટમ એડમિનિસ્ટ્રેટર, મને બ્રાઉઝર્સ વિશે ફરિયાદો છે :), પરંતુ આ ખાસ કિસ્સાઓ છે, સંસાધનની ઍક્સેસના અભાવ માટેના મોટાભાગના ટ્રિગર્સ હજી પણ અમારી બાજુમાં છે. , અમે Microsoft તરફથી Opera VPN અને ફ્રિગેટ અને ટેલિમેટ્રી જેવા પ્લગિન્સને પણ સફળતાપૂર્વક અવરોધિત કરીએ છીએ.

સોર્સ: www.habr.com