બ્લોકીંગને બાયપાસ કરવા માટે BGP સેટ કરવું અથવા "મેં કેવી રીતે ડરવાનું બંધ કરી દીધું અને RKN સાથે પ્રેમ થયો"

સારું, ઠીક છે, "પ્રેમમાં પડ્યા" વિશે એક અતિશયોક્તિ છે. તેના બદલે "સાથે સહઅસ્તિત્વ કરી શકે છે".

જેમ તમે બધા જાણો છો તેમ, 16 એપ્રિલ, 2018 થી, Roskomnadzor અત્યંત વ્યાપક સ્ટ્રોક સાથે નેટવર્ક પર સંસાધનોની ઍક્સેસને અવરોધિત કરી રહ્યું છે, જે ડોમેન નામોની યુનિફાઇડ રજિસ્ટ્રીમાં ઉમેરે છે, ઇન્ટરનેટ પર સાઇટ્સના પૃષ્ઠો અને નેટવર્ક સરનામાંઓ જે તમને પરવાનગી આપે છે. ઇન્ટરનેટ પર સાઇટ્સને ઓળખો, જેમાં માહિતી શામેલ છે, જેનો પ્રસાર રશિયન ફેડરેશનમાં પ્રતિબંધિત છે” (ટેક્સ્ટમાં - ફક્ત એક રજિસ્ટર) /10 ક્યારેક. પરિણામે, રશિયન ફેડરેશનના નાગરિકો અને વ્યવસાયો પીડાય છે, તેઓને જરૂરી સંપૂર્ણ કાનૂની સંસાધનોની ઍક્સેસ ગુમાવી દીધી છે.

હાબ્રે પરના એક લેખની ટિપ્પણીઓમાં મેં કહ્યું કે હું બાયપાસ યોજના સ્થાપિત કરવા માટે પીડિતોને મદદ કરવા તૈયાર છું, ઘણા લોકોએ આવી મદદ માટે મને સંપર્ક કર્યો. જ્યારે બધું તેમના માટે કામ કરે છે, ત્યારે તેમાંથી એકે એક લેખમાં તકનીકનું વર્ણન કરવાની ભલામણ કરી. પ્રતિબિંબ પર, મેં સાઇટ પર મારું મૌન તોડવાનું નક્કી કર્યું અને એક પ્રોજેક્ટ અને ફેસબુક પરની પોસ્ટ વચ્ચે મધ્યવર્તી કંઈક લખવા માટે એકવાર પ્રયાસ કર્યો, એટલે કે. habrapost. પરિણામ તમારી સામે છે.

જવાબદારીનો ઇનકાર

રશિયન ફેડરેશનના પ્રદેશ પર પ્રતિબંધિત માહિતીની ઍક્સેસને અવરોધિત કરવાને બાયપાસ કરવાની રીતો પ્રકાશિત કરવી ખૂબ જ કાયદેસર નથી, તેથી આ લેખનો હેતુ એવી પદ્ધતિ વિશે વાત કરવાનો છે જે તમને પ્રદેશ પર મંજૂર સંસાધનોની સ્વચાલિત ઍક્સેસની મંજૂરી આપે છે. રશિયન ફેડરેશનના, પરંતુ તમારા પ્રદાતા દ્વારા સીધા જ અપ્રાપ્ય કોઈની ક્રિયાઓને લીધે. અને અન્ય સંસાધનોની ઍક્સેસ, લેખમાંથી ક્રિયાઓના પરિણામે પ્રાપ્ત, એક કમનસીબ આડઅસર છે અને તે કોઈપણ રીતે લેખનો હેતુ નથી.

ઉપરાંત, કારણ કે હું મુખ્યત્વે વ્યવસાય, વ્યવસાય અને જીવન માર્ગ દ્વારા નેટવર્ક આર્કિટેક્ટ છું, પ્રોગ્રામિંગ અને Linux મારી શક્તિઓ નથી. તેથી, અલબત્ત, સ્ક્રિપ્ટ વધુ સારી રીતે લખી શકાય છે, VPS માં સુરક્ષા મુદ્દાઓ પર વધુ ઊંડાણપૂર્વક કામ કરી શકાય છે, વગેરે. તમારા સૂચનો કૃતજ્ઞતા સાથે સ્વીકારવામાં આવશે, જો તે પર્યાપ્ત વિગતવાર હશે - મને લેખના ટેક્સ્ટમાં ઉમેરવામાં આનંદ થશે.

TL; DR

અમે રજિસ્ટ્રી અને BGP પ્રોટોકોલની નકલનો ઉપયોગ કરીને તમારી હાલની ટનલ દ્વારા સંસાધનોની ઍક્સેસ આપોઆપ કરીએ છીએ. ધ્યેય ટનલમાં અવરોધિત સંસાધનોને સંબોધિત તમામ ટ્રાફિકને દૂર કરવાનો છે. ન્યૂનતમ સમજૂતી, મોટે ભાગે પગલું દ્વારા સૂચનાઓ.

તમારે આ માટે શું જોઈએ છે

કમનસીબે, આ પોસ્ટ દરેક માટે નથી. આ તકનીકનો ઉપયોગ કરવા માટે, તમારે થોડા ઘટકોને એકસાથે મૂકવાની જરૂર પડશે:

1. તમારી પાસે બ્લોકીંગ ફીલ્ડની બહાર ક્યાંક લિનક્સ સર્વર હોવું આવશ્યક છે. અથવા ઓછામાં ઓછું આવા સર્વર શરૂ કરવાની ઇચ્છા - કારણ કે હવે તેની કિંમત $ 9 / વર્ષ છે, અને સંભવતઃ ઓછી છે. જો તમારી પાસે અલગ VPN ટનલ હોય, તો પદ્ધતિ પણ યોગ્ય છે, તો સર્વર બ્લોક ફીલ્ડની અંદર સ્થિત થઈ શકે છે.
2. તમારું રાઉટર સક્ષમ થવા માટે પૂરતું સ્માર્ટ હોવું જોઈએ
   • તમને ગમે તે કોઈપણ VPN ક્લાયંટ (હું OpenVPN પસંદ કરું છું, પરંતુ તે PPTP, L2TP, GRE+IPSec, અને ટનલ ઈન્ટરફેસ બનાવે છે તે કોઈપણ અન્ય વિકલ્પ હોઈ શકે છે);
   • BGPv4 પ્રોટોકોલ. જેનો અર્થ છે કે SOHO માટે તે Mikrotik અથવા OpenWRT/LEDE/સમાન કસ્ટમ ફર્મવેર સાથેનું કોઈપણ રાઉટર હોઈ શકે છે જે તમને Quagga અથવા Bird ઇન્સ્ટોલ કરવાની મંજૂરી આપે છે. પીસી રાઉટરનો ઉપયોગ પણ પ્રતિબંધિત નથી. એન્ટરપ્રાઇઝ માટે, BGP સપોર્ટ માટે તમારા બોર્ડર રાઉટર માટે દસ્તાવેજીકરણ જુઓ.
3. તમે BGP સહિત Linux વપરાશ અને નેટવર્ક તકનીકોથી પરિચિત હોવા જોઈએ. અથવા ઓછામાં ઓછું તે વિચાર મેળવવા માંગો છો. હું આ વખતે વિરાટતાને સ્વીકારવા તૈયાર નથી, તેથી તમારે તમારા માટે અગમ્ય એવા કેટલાક મુદ્દાઓનો અભ્યાસ કરવો પડશે. જો કે, હું, અલબત્ત, ટિપ્પણીઓમાં ચોક્કસ પ્રશ્નોના જવાબ આપીશ અને હું એકમાત્ર જવાબ આપનાર હોઈ શકતો નથી, તેથી પૂછવા માટે નિઃસંકોચ.

ઉદાહરણમાં શું વપરાય છે

• રજિસ્ટરની નકલ https://github.com/zapret-info/z-i 
• VPS - ઉબુન્ટુ 16.04
• રૂટીંગ સેવા - પક્ષી 1.6.3   
• રાઉટર - Mikrotik hAP એસી
• વર્કિંગ ફોલ્ડર્સ - અમે રૂટ તરીકે કામ કરતા હોવાથી, મોટાભાગની દરેક વસ્તુ રૂટ હોમ ફોલ્ડરમાં મૂકવામાં આવશે. અનુક્રમે:
  • /રુટ/બ્લેકલિસ્ટ - કમ્પાઇલેશન સ્ક્રિપ્ટ સાથે વર્કિંગ ફોલ્ડર
  • /root/zi - ગીથબમાંથી રજિસ્ટ્રીની નકલ
  • /etc/bird - પ્રમાણભૂત પક્ષી સેવા સેટિંગ્સ ફોલ્ડર
• અમે 194.165.22.146, ASN 64998 ને રૂટીંગ સર્વર અને ટનલ ટર્મિનેશન પોઈન્ટ સાથે VPS ના બાહ્ય IP સરનામા તરીકે સ્વીકારીએ છીએ; રાઉટરનું બાહ્ય IP સરનામું - 81.177.103.94, ASN 64999
• ટનલની અંદરના IP એડ્રેસ અનુક્રમે 172.30.1.1 અને 172.30.1.2 છે.

અલબત્ત, તમે અન્ય કોઈપણ રાઉટર્સ, ઑપરેટિંગ સિસ્ટમ્સ અને સૉફ્ટવેર પ્રોડક્ટ્સનો ઉપયોગ કરી શકો છો, તેમના તર્કને ફિટ કરવા માટે ઉકેલને સમાયોજિત કરી શકો છો.

સંક્ષિપ્તમાં - નિર્ણયનો તર્ક

1. પ્રારંભિક ક્રિયાઓ
   1. VPS મેળવવી
   2. અમે રાઉટરથી VPS સુધી ટનલ વધારીએ છીએ
2. રજિસ્ટ્રીની નકલ મેળવવી અને નિયમિતપણે અપડેટ કરવી
3. રૂટીંગ સેવાને ઇન્સ્ટોલ અને ગોઠવી રહ્યું છે
4. રજિસ્ટ્રીના આધારે રૂટીંગ સેવા માટે સ્ટેટિક રૂટ્સની સૂચિ બનાવો
5. અમે રાઉટરને સેવા સાથે જોડીએ છીએ અને ટનલ દ્વારા તમામ ટ્રાફિક મોકલવાનું સેટઅપ કરીએ છીએ.

વાસ્તવિક નિર્ણય

પ્રારંભિક ક્રિયાઓ

નેટવર્કની વિશાળતામાં એવી ઘણી સેવાઓ છે જે અત્યંત વ્યાજબી પૈસા માટે VPS પ્રદાન કરે છે. અત્યાર સુધી, મેં $9/વર્ષનો વિકલ્પ શોધી કાઢ્યો છે અને તેનો ઉપયોગ કર્યો છે, પરંતુ જો તમે ખરેખર પરેશાન ન હોવ તો પણ, દરેક ખૂણા પર 1E/મહિના માટે ઘણા બધા વિકલ્પો છે. VPS પસંદ કરવાનો પ્રશ્ન આ લેખના અવકાશની બહારનો છે, તેથી જો આ વિશે કોઈને કંઈક સ્પષ્ટ ન હોય, તો ટિપ્પણીઓમાં પૂછો.

જો તમે VPS નો ઉપયોગ ફક્ત રૂટીંગ સેવા માટે જ નહીં, પરંતુ તેના પરની ટનલને સમાપ્ત કરવા માટે પણ કરો છો, તો તમારે આ ટનલને વધારવાની જરૂર છે અને, લગભગ સ્પષ્ટપણે, તેના માટે NAT રૂપરેખાંકિત કરો. આ ક્રિયાઓ માટે નેટવર્ક પર મોટી સંખ્યામાં સૂચનાઓ છે, હું તેને અહીં પુનરાવર્તન કરીશ નહીં. આવી ટનલ માટેની મુખ્ય જરૂરિયાત એ છે કે તેણે તમારા રાઉટર પર એક અલગ ઈન્ટરફેસ બનાવવો જોઈએ જે VPS તરફ ટનલને સપોર્ટ કરે છે. સૌથી વધુ ઉપયોગમાં લેવાતી VPN તકનીકો આ જરૂરિયાતને પૂર્ણ કરે છે - ઉદાહરણ તરીકે, ટ્યુન મોડમાં OpenVPN સારું છે.

રજિસ્ટ્રીની નકલ મેળવો

જેમ જબરાઇલે કહ્યું, "જે અમને અવરોધે છે તે અમને મદદ કરશે." RKN પ્રતિબંધિત સંસાધનોની રજિસ્ટ્રી બનાવી રહ્યું હોવાથી, અમારી સમસ્યાના ઉકેલ માટે આ રજિસ્ટ્રીનો ઉપયોગ ન કરવો એ પાપ હશે. અમને ગીથબમાંથી રજિસ્ટ્રીની નકલ મળશે.

અમે તમારા Linux સર્વર પર જઈએ છીએ, રૂટ'ના સંદર્ભમાં આવીએ છીએ (સુડો સુ-) અને git ઇન્સ્ટોલ કરો જો તે પહેલાથી ઇન્સ્ટોલ કરેલું નથી.

apt install git

તમારી હોમ ડિરેક્ટરી પર જાઓ અને રજિસ્ટ્રીની એક નકલ ખેંચો.

cd ~ && git clone --depth=1 https://github.com/zapret-info/z-i 

ક્રોન અપડેટ સેટ કરો (મારી પાસે તે દર 20 મિનિટે છે, પરંતુ તમે તમારી રુચિ હોય તે કોઈપણ અંતરાલ પસંદ કરી શકો છો). આ કરવા માટે, અમે ચલાવીએ છીએ crontab -e અને તેમાં નીચેની લીટી ઉમેરો:

*/20 * * * * cd ~/z-i && git pull && git gc

અમે એક હૂકને કનેક્ટ કરીએ છીએ જે રજિસ્ટ્રીને અપડેટ કર્યા પછી રૂટીંગ સેવા માટે ફાઇલો બનાવશે. આ કરવા માટે, અમે એક ફાઇલ બનાવીએ છીએ /root/zi/.git/hooks/post-merge નીચેની સામગ્રી સાથે:

#!/usr/bin/env bash
changed_files="$(git diff-tree -r --name-only --no-commit-id ORIG_HEAD HEAD)"
check_run() {
    echo "$changed_files" | grep --quiet "$1" && eval "$2"
}
check_run dump.csv "/root/blacklist/makebgp"

અને તેને એક્ઝેક્યુટેબલ બનાવવાનું ભૂલશો નહીં

chmod +x /root/z-i/.git/hooks/post-merge

હૂક દ્વારા સંદર્ભિત makebgp સ્ક્રિપ્ટ પછીથી બનાવવામાં આવશે.

રૂટીંગ સેવાને ઇન્સ્ટોલ અને ગોઠવી રહ્યું છે

પક્ષી સ્થાપિત કરો. કમનસીબે, ઉબુન્ટુ રિપોઝીટરીઝમાં પક્ષીનું હાલમાં પ્રકાશિત થયેલ વર્ઝન આર્કિયોપ્ટેરિક્સના મળ સાથે તાજગીમાં તુલનાત્મક છે, તેથી આપણે સૌપ્રથમ સિસ્ટમમાં સોફ્ટવેર ડેવલપર્સના અધિકૃત PPA ઉમેરવાની જરૂર છે.

add-apt-repository ppa:cz.nic-labs/bird
apt update
apt install bird

તે પછી, અમે તરત જ IPv6 માટે પક્ષીને અક્ષમ કરીએ છીએ - આ ઇન્સ્ટોલેશનમાં અમને તેની જરૂર રહેશે નહીં.

systemctl stop bird6
systemctl disable bird6

નીચે પક્ષી સેવા માટે ન્યૂનતમ રૂપરેખાંકન ફાઇલ છે (/etc/bird/bird.conf), જે આપણા માટે પર્યાપ્ત છે (અને ફરી એક વાર હું તમને યાદ અપાવીશ કે તમારી પોતાની જરૂરિયાતોને અનુરૂપ વિચારને વિકસાવવા અને ટ્યુન કરવા માટે કોઈ મનાઈ કરતું નથી)

log syslog all;
router id 172.30.1.1;

protocol kernel {
        scan time 60;
        import none;
#       export all;   # Actually insert routes into the kernel routing table
}

protocol device {
        scan time 60;
}

protocol direct {
        interface "venet*", "tun*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
        import all;
        include "pfxlist.txt";
        #include "iplist.txt";
}

protocol bgp OurRouter {
        description "Our Router";
        neighbor 81.177.103.94 as 64999;
        import none;
        export where proto = "static_bgp";
        local as 64998;
        passive off;
        multihop;
}

રાઉટર આઈડી - રાઉટર ઓળખકર્તા, દૃષ્ટિની રીતે IPv4 સરનામાં જેવું લાગે છે, પરંતુ તે નથી. અમારા કિસ્સામાં, તે IPv32 સરનામાં ફોર્મેટમાં કોઈપણ 4-બીટ નંબર હોઈ શકે છે, પરંતુ તમારા ઉપકરણ (આ કિસ્સામાં, VPS) નું IPv4 સરનામું ત્યાં સ્પષ્ટ કરવું એ સારી પ્રથા છે.

પ્રોટોકોલ ડાયરેક્ટ નક્કી કરે છે કે કયા ઇન્ટરફેસ રૂટીંગ પ્રક્રિયા સાથે કામ કરશે. ઉદાહરણ નામોના થોડા ઉદાહરણો આપે છે, તમે વધુ ઉમેરી શકો છો. તમે ફક્ત લાઇનને કાઢી પણ શકો છો, આ કિસ્સામાં સર્વર IPv4 સરનામાં સાથે ઉપલબ્ધ તમામ ઇન્ટરફેસ પર સાંભળશે.

પ્રોટોકોલ સ્ટેટિક એ અમારો જાદુ છે જે પછીની જાહેરાત માટે ફાઈલોમાંથી ઉપસર્ગ અને આઈપી એડ્રેસ (જે અલબત્ત, /32 ઉપસર્ગ છે)ની સૂચિ લોડ કરે છે. આ યાદીઓ ક્યાંથી આવે છે તેની નીચે ચર્ચા કરવામાં આવશે. મહેરબાની કરીને નોંધ કરો કે આઇપી એડ્રેસના લોડિંગ પર ડિફોલ્ટ રૂપે ટિપ્પણી કરવામાં આવે છે, તેનું કારણ અપલોડિંગની મોટી માત્રા છે. સરખામણી માટે, લેખ લખતી વખતે, ઉપસર્ગોની સૂચિમાં 78 લીટીઓ છે, અને ip સરનામાંઓની સૂચિમાં 85898 છે. હું ભારપૂર્વક ભલામણ કરું છું કે તમે ફક્ત ઉપસર્ગોની સૂચિ પર જ પ્રારંભ કરો અને ડિબગ કરો, અને નક્કી કરો કે નહીં. તમારા રાઉટર સાથે પ્રયોગ કર્યા પછી ભવિષ્યમાં ip લોડિંગને સક્ષમ કરવા માટે. તેમાંથી દરેક રૂટીંગ ટેબલમાં 85 હજાર એન્ટ્રી સરળતાથી પચાવી શકે તેમ નથી.

પ્રોટોકોલ bgp ખરેખર તમારા રાઉટર સાથે bgp પિયરિંગ સેટ કરે છે. ip-address એ રાઉટરના બાહ્ય ઈન્ટરફેસનું સરનામું છે (અથવા રાઉટરની બાજુમાંથી ટનલ ઈન્ટરફેસનું સરનામું), 64998 અને 64999 એ સ્વાયત્ત સિસ્ટમોની સંખ્યા છે. આ કિસ્સામાં, તેઓ કોઈપણ 16-બીટ નંબરોના સ્વરૂપમાં અસાઇન કરી શકાય છે, પરંતુ RFC6996 - 64512-65534 સહિતની ખાનગી શ્રેણીમાંથી AS નંબરોનો ઉપયોગ કરવો એ સારી પ્રથા છે (ત્યાં 32-બીટ ASN ફોર્મેટ છે, પરંતુ અમારા કિસ્સામાં આ ચોક્કસપણે ઓવરકિલ છે). વર્ણવેલ રૂપરેખાંકન eBGP પીઅરિંગનો ઉપયોગ કરે છે, જેમાં રૂટીંગ સેવા અને રાઉટરના સ્વાયત્ત સિસ્ટમ નંબરો અલગ હોવા જોઈએ.

જેમ તમે જોઈ શકો છો, સેવાને રાઉટરનું IP સરનામું જાણવાની જરૂર છે, તેથી જો તમારી પાસે ડાયનેમિક અથવા નોન-રાઉટેબલ ખાનગી (RFC1918) અથવા શેર કરેલ (RFC6598) સરનામું હોય, તો તમારી પાસે બાહ્ય ઇન્ટરફેસ પર પિયરિંગ વધારવાનો કોઈ વિકલ્પ નથી, પરંતુ સેવા હજુ પણ ટનલની અંદર કામ કરશે.

તે પણ એકદમ પારદર્શક છે કે તમે એક સેવામાંથી રૂટ સાથે ઘણા જુદા જુદા રાઉટર્સ પ્રદાન કરી શકો છો - ફક્ત પાડોશીના IP સરનામાંને બદલીને પ્રોટોકોલ bgp વિભાગની નકલ કરીને તેમના માટે સેટિંગ્સની નકલ કરો. તેથી જ ઉદાહરણ સૌથી સાર્વત્રિક તરીકે, ટનલની બહાર પીઅરિંગ માટેની સેટિંગ્સ બતાવે છે. તે મુજબ સેટિંગ્સમાં IP સરનામાં બદલીને તેમને ટનલમાં દૂર કરવા મુશ્કેલ નથી.

રૂટીંગ સેવા માટે રજિસ્ટ્રી પ્રક્રિયા

હવે આપણને જરૂર છે, હકીકતમાં, ઉપસર્ગ અને આઈપી-એડ્રેસની સૂચિ બનાવવાની, જેનો ઉલ્લેખ પ્રોટોકોલ સ્ટેટિકમાં અગાઉના પગલામાં કરવામાં આવ્યો છે. આ કરવા માટે, અમે રજિસ્ટ્રી ફાઈલ લઈએ છીએ અને તેમાંથી આપણને જોઈતી ફાઈલો નીચેની સ્ક્રિપ્ટ સાથે બનાવીએ છીએ, જે /root/blacklist/makebgp

#!/bin/bash
cut -d";" -f1 /root/z-i/dump.csv| tr '|' 'n' |  tr -d ' ' > /root/blacklist/tmpaddr.txt
cat /root/blacklist/tmpaddr.txt | grep / | sed 's_.*_route & reject;_' > /etc/bird/pfxlist.txt
cat /root/blacklist/tmpaddr.txt | sort | uniq | grep -Eo "([0-9]{1,3}[.]){3}[0-9]{1,3}" | sed 's_.*_route &/32 reject;_' > /etc/bird/iplist.txt
/etc/init.d/bird reload
logger 'bgp list compiled'

તેને એક્ઝેક્યુટેબલ બનાવવાનું ભૂલશો નહીં

chmod +x /root/blacklist/makebgp

હવે તમે તેને મેન્યુઅલી ચલાવી શકો છો અને /etc/bird માં ફાઇલોના દેખાવનું અવલોકન કરી શકો છો.

મોટે ભાગે, આ ક્ષણે પક્ષી તમારા માટે કામ કરતું નથી, કારણ કે અગાઉના તબક્કે તમે સૂચવ્યું હતું કે તે એવી ફાઇલો શોધે છે જે હજી અસ્તિત્વમાં નથી. તેથી, અમે તેને લોંચ કરીએ છીએ અને નિયંત્રિત કરીએ છીએ કે તે શરૂ થાય છે:

systemctl start bird
birdc show route

બીજા આદેશના આઉટપુટમાં લગભગ 80 એન્ટ્રીઓ દર્શાવવી જોઈએ (આ આ ક્ષણે છે, અને જ્યારે તમે તેને સેટ કરો છો, ત્યારે બધું બ્લોકિંગ નેટવર્ક્સમાં ILV ની ઉત્સાહ પર નિર્ભર રહેશે) આ રીતે:

54.160.0.0/12      unreachable [static_bgp 2018-04-19] * (200)

ટીમ

birdc show protocol

સેવામાં પ્રોટોકોલની સ્થિતિ બતાવશે. જ્યાં સુધી તમે રાઉટરને રૂપરેખાંકિત કરશો નહીં (આગળનો ફકરો જુઓ), અવર રાઉટર પ્રોટોકોલ સ્ટાર્ટ સ્ટેટ (કનેક્ટ અથવા એક્ટિવ તબક્કાઓ) માં હશે અને સફળ કનેક્શન પછી, તે ઉપરની સ્થિતિમાં જશે (સ્થાપિત તબક્કો). ઉદાહરણ તરીકે, મારી સિસ્ટમ પર, આ આદેશનું આઉટપુટ આના જેવું દેખાય છે:

BIRD 1.6.3 ready.
name     proto    table    state  since       info
kernel1  Kernel   master   up     2018-04-19
device1  Device   master   up     2018-04-19
static_bgp Static   master   up     2018-04-19
direct1  Direct   master   up     2018-04-19
RXXXXXx1 BGP      master   up     13:10:22    Established
RXXXXXx2 BGP      master   up     2018-04-24  Established
RXXXXXx3 BGP      master   start  2018-04-22  Connect       Socket: Connection timed out
RXXXXXx4 BGP      master   up     2018-04-24  Established
RXXXXXx5 BGP      master   start  2018-04-24  Passive

રાઉટરને કનેક્ટ કરી રહ્યું છે

દરેક વ્યક્તિ કદાચ આ ફૂટક્લોથ વાંચીને પહેલેથી જ કંટાળી ગયો છે, પરંતુ હૃદયથી વિચાર કરો - અંત નજીક છે. તદુપરાંત, આ વિભાગમાં હું પગલું-દર-પગલાની સૂચનાઓ આપી શકતો નથી - તે દરેક ઉત્પાદક માટે અલગ હશે.

જો કે, હું તમને કેટલાક ઉદાહરણો બતાવી શકું છું. મુખ્ય તર્ક એ છે કે BGP પીઅરિંગને વધારવું અને નેક્સ્ટહોપને તમામ પ્રાપ્ત ઉપસર્ગો સાથે જોડવું, અમારી ટનલ (જો તમારે p2p ઈન્ટરફેસ દ્વારા ટ્રાફિક આઉટપુટ કરવાની જરૂર હોય) અથવા જો ટ્રાફિક ઈથરનેટ પર જાય તો નેક્સ્ટહોપ આઈપી-એડ્રેસ તરફ નિર્દેશ કરે છે.

ઉદાહરણ તરીકે, રાઉટરઓએસમાં મિક્રોટિક પર, આ નીચે પ્રમાણે ઉકેલવામાં આવે છે

/routing bgp instance set default as=64999 ignore-as-path-len=yes router-id=172.30.1.2
/routing bgp peer add in-filter=dynamic-in multihop=yes name=VPS remote-address=194.165.22.146 remote-as=64998 ttl=default
/routing filter add action=accept chain=dynamic-in protocol=bgp comment="Set nexthop" set-in-nexthop=172.30.1.1

અને સિસ્કો IOS માં - આના જેવું

router bgp 64999
  neighbor 194.165.22.146 remote-as 64998
  neighbor 194.165.22.146 route-map BGP_NEXT_HOP in
  neighbor 194.165.22.146 ebgp-multihop 250
!
route-map BGP_NEXT_HOP permit 10
  set ip next-hop 172.30.1.1

જો એક જ ટનલનો ઉપયોગ BGP પીઅરિંગ અને ઉપયોગી ટ્રાફિક ટ્રાન્સમિટ કરવા બંને માટે થાય છે, તો નેક્સ્ટહોપ સેટ કરવું જરૂરી નથી, તે પ્રોટોકોલ દ્વારા યોગ્ય રીતે સેટ કરવામાં આવશે. પરંતુ જો તમે તેને મેન્યુઅલી સેટ કરો છો, તો તે ખરાબ પણ નહીં થાય.

અન્ય પ્લેટફોર્મ્સ પર, તમારે જાતે ગોઠવણી કરવી પડશે, પરંતુ જો તમને કોઈ મુશ્કેલીઓ હોય, તો ટિપ્પણીઓમાં લખો, હું મદદ કરવાનો પ્રયાસ કરીશ.

તમારું BGP સત્ર વધ્યા પછી, મોટા નેટવર્કના માર્ગો આવી ગયા છે અને ટેબલમાં ઇન્સ્ટોલ થઈ ગયા છે, તેમાંથી સરનામાંઓ પર ટ્રાફિક જતો રહ્યો છે અને ખુશી નજીક છે, તમે પક્ષી સેવા પર પાછા આવી શકો છો અને ત્યાં પ્રવેશને અનકૉમમેન્ટ કરવાનો પ્રયાસ કરી શકો છો જે તેને જોડે છે. આઈપી એડ્રેસની યાદી, તે પછી એક્ઝિક્યુટ કરો

systemctl reload bird

અને જુઓ કે તમારા રાઉટરે આ 85 હજાર રૂટ કેવી રીતે ટ્રાન્સફર કર્યા. તેને બંધ કરવા માટે તૈયાર રહો અને તેની સાથે શું કરવું તે વિશે વિચારો 🙂

કુલ

સૈદ્ધાંતિક રીતે, ઉપરોક્ત પગલાંઓ કર્યા પછી, તમારી પાસે એવી સેવા છે જે ફિલ્ટરિંગ સિસ્ટમ પછી રશિયન ફેડરેશનમાં પ્રતિબંધિત IP સરનામાઓ પર ટ્રાફિકને આપમેળે રીડાયરેક્ટ કરે છે.

તે, અલબત્ત, સુધારી શકાય છે. ઉદાહરણ તરીકે, પર્લ અથવા પાયથોન સોલ્યુશન્સ દ્વારા ip સરનામાંઓની સૂચિનો સરવાળો કરવા માટે તે પૂરતું સરળ છે. નેટ::સીઆઈડીઆર::લાઇટ સાથે આ કરવા માટેની એક સરળ પર્લ સ્ક્રિપ્ટ 85 હજાર ઉપસર્ગને 60 (હજાર નહીં) માં ફેરવે છે, પરંતુ કુદરતી રીતે અવરોધિત કરતાં એડ્રેસની ઘણી મોટી શ્રેણીને આવરી લે છે.

સેવા ISO/OSI મૉડલના ત્રીજા સ્તર પર કાર્ય કરતી હોવાથી, જો તે રજિસ્ટ્રીમાં નોંધાયેલા સરનામાંને ઉકેલતી નથી, તો તે તમને સાઇટ/પૃષ્ઠ અવરોધિત કરવાથી બચાવશે નહીં. પરંતુ ગીથબમાંથી રજીસ્ટ્રી સાથે, nxdomain.txt ફાઇલ આવે છે, જે સ્ક્રિપ્ટના થોડા સ્ટ્રોક સાથે સરળતાથી સરનામાંના સ્ત્રોતમાં ફેરવાય છે, ઉદાહરણ તરીકે, Chrome માં SwitchyOmega પ્લગઇન.

એનો પણ ઉલ્લેખ કરવો જોઈએ કે જો તમે માત્ર ઈન્ટરનેટ યુઝર ન હોવ તો પણ સોલ્યુશનને વધારાની શાર્પનિંગની જરૂર છે, પરંતુ તમારામાંથી કેટલાક સંસાધનો પણ પ્રકાશિત કરો (ઉદાહરણ તરીકે, વેબસાઈટ અથવા મેઈલ સર્વર આ કનેક્શન પર ચાલે છે). રાઉટરના માધ્યમથી, તમારે આ સેવામાંથી તમારા સાર્વજનિક સરનામાં પર આઉટગોઇંગ ટ્રાફિકને સખત રીતે બાંધવાની જરૂર છે, અન્યથા તમે તે સંસાધનો સાથે જોડાણ ગુમાવશો જે રાઉટર દ્વારા પ્રાપ્ત ઉપસર્ગોની સૂચિ દ્વારા આવરી લેવામાં આવ્યા છે.

જો તમારી પાસે કોઈ પ્રશ્નો હોય તો - પૂછો, જવાબ આપવા માટે તૈયાર છે.

યુપીડી. આભાર navion и TerAnYu ડાઉનલોડ વોલ્યુમ ઘટાડવા માટે ગિટ માટેના વિકલ્પો માટે.

UPD2. સાથીદારો, એવું લાગે છે કે લેખમાં VPS અને રાઉટર વચ્ચે ટનલ સેટ કરવા માટેની સૂચનાઓ ન ઉમેરીને મેં ભૂલ કરી છે. જેના કારણે અનેક સવાલો ઉઠી રહ્યા છે.
ફક્ત કિસ્સામાં, હું ફરીથી નોંધું છું - એવું માનવામાં આવે છે કે આ માર્ગદર્શિકામાં પગલાં શરૂ કરતા પહેલા, તમે પહેલેથી જ VPN ટનલને તમને જોઈતી દિશામાં ગોઠવી દીધી છે અને તેનું પ્રદર્શન તપાસ્યું છે (ઉદાહરણ તરીકે, ત્યાં ડિફૉલ્ટ અથવા સ્થિર રૂપે ટ્રાફિક રેપિંગ). જો તમે હજી સુધી આ તબક્કો પૂર્ણ કર્યો નથી, તો લેખના પગલાંને અનુસરવાનો ખરેખર કોઈ અર્થ નથી. મારી પાસે આના પર હજી સુધી મારું પોતાનું લખાણ નથી, પરંતુ જો તમે VPS પર ઇન્સ્ટોલ કરેલી ઑપરેટિંગ સિસ્ટમના નામ સાથે "OpenVPN સર્વર સેટઅપ" અને તમારા રાઉટરના નામ સાથે "OpenVPN ક્લાયંટ સેટઅપ" ગૂગલ કરો છો, તો મોટા ભાગે તમે હેબ્રે સહિત આ વિષય પર સંખ્યાબંધ લેખો મળશે.

UPD3. બલિદાન વિનાનું એક કોડ લખ્યો જે ip સરનામાંના વૈકલ્પિક સમીકરણ સાથે dump.csv માંથી પક્ષી માટે પરિણામી ફાઇલ બનાવે છે. તેથી, "રાઉટીંગ સેવા માટે રજિસ્ટ્રી પ્રોસેસિંગ" વિભાગને તેના પ્રોગ્રામ પર કૉલ સાથે બદલી શકાય છે. https://habr.com/post/354282/#comment_10782712

UPD4. ભૂલો પર થોડું કામ (ટેક્સ્ટમાં યોગદાન આપ્યું નથી):
1) તેના બદલે systemctl રીલોડ બર્ડ આદેશનો ઉપયોગ કરવો અર્થપૂર્ણ છે birdc રૂપરેખાંકિત કરો.
2) મિક્રોટિક રાઉટરમાં, નેક્સ્ટ-હોપને ટનલની બીજી બાજુના IP પર બદલવાને બદલે /રાઉટીંગ ફિલ્ટર ઍડ એક્શન=એક્સેપ્ટ ચેન=ડાયનેમિક-ઇન પ્રોટોકોલ=bgp ટિપ્પણી="સેટ નેક્સ્ટહોપ" સેટ-ઇન-નેક્સ્ટહોપ=172.30.1.1 સરનામું વિના, ટનલ ઇન્ટરફેસ પર સીધા જ રૂટનો ઉલ્લેખ કરવો તે અર્થપૂર્ણ છે /રાઉટીંગ ફિલ્ટર ઍડ એક્શન=એક્સેપ્ટ ચેન=ડાયનેમિક-ઇન પ્રોટોકોલ=bgp ટિપ્પણી="સેટ નેક્સ્ટહોપ" સેટ-ઇન-નેક્સ્ટહોપ-ડાયરેક્ટ=<ઇન્ટરફેસ નામ>

UPD5. નવી સેવા આવી છે https://antifilter.download, જ્યાંથી તમે આઈપી એડ્રેસની તૈયાર યાદી લઈ શકો છો. દર અડધા કલાકે અપડેટ થાય છે. ક્લાયંટની બાજુએ, જે બાકી રહે છે તે અનુરૂપ "રૂટ ... અસ્વીકાર" સાથે એન્ટ્રીઓને ફ્રેમ કરવાનું છે.
અને તે કદાચ મારી દાદીને શેગ કરવા અને લેખને અપડેટ કરવા માટે પૂરતું છે.

UPD6. જેઓ સમજવા માંગતા નથી, પણ શરૂ કરવા માગે છે તેમના માટે લેખનું સુધારેલું સંસ્કરણ - અહીં.

સોર્સ: www.habr.com