गरीब और आलसी असंतुष्टों से Iptables और ट्रैफ़िक फ़िल्टर करना

निषिद्ध संसाधनों पर विज़िट को रोकने की प्रासंगिकता किसी भी प्रशासक को प्रभावित करती है जिस पर आधिकारिक तौर पर कानून या संबंधित अधिकारियों के आदेशों का पालन करने में विफलता का आरोप लगाया जा सकता है।

जब हमारे कार्यों के लिए विशेष कार्यक्रम और वितरण मौजूद हैं, उदाहरण के लिए: जीरोशेल, पीएफसेंस, क्लियरओएस तो पहिये का पुनरुद्धार क्यों करें।

प्रबंधन का एक और सवाल था: क्या इस्तेमाल किए गए उत्पाद के पास हमारे राज्य से सुरक्षा प्रमाणपत्र है?

हमें निम्नलिखित वितरणों के साथ काम करने का अनुभव था:

• ज़ीरोशेल - डेवलपर्स ने 2 साल का लाइसेंस भी दान कर दिया, लेकिन यह पता चला कि जिस वितरण किट में हम रुचि रखते थे, उसने अतार्किक रूप से हमारे लिए एक महत्वपूर्ण कार्य किया;
• पीएफसेंस - सम्मान और सम्मान, एक ही समय में उबाऊ, फ्रीबीएसडी फ़ायरवॉल की कमांड लाइन का आदी होना और हमारे लिए पर्याप्त सुविधाजनक नहीं (मुझे लगता है कि यह आदत की बात है, लेकिन यह गलत तरीका निकला);
• ClearOS - हमारे हार्डवेयर पर यह बहुत धीमा निकला, हम गंभीर परीक्षण नहीं कर सके, तो इतने भारी इंटरफ़ेस क्यों?
• आइडेको सेलेक्टा। आइडेको उत्पाद एक अलग बातचीत है, एक दिलचस्प उत्पाद है, लेकिन राजनीतिक कारणों से हमारे लिए नहीं, और मैं उन्हें उसी लिनक्स, राउंडक्यूब, आदि के लाइसेंस के बारे में "काटना" भी चाहता हूं। उन्हें यह विचार कहां से आया कि इंटरफ़ेस को काटकर अजगर और सुपरयूजर अधिकारों को छीनकर, वे जीपीएल आदि के तहत वितरित इंटरनेट समुदाय से विकसित और संशोधित मॉड्यूल से बने तैयार उत्पाद को बेच सकते हैं।

मैं समझता हूं कि अब मेरी व्यक्तिपरक भावनाओं को विस्तार से प्रमाणित करने की मांग के साथ नकारात्मक विस्मयादिबोधक मेरी दिशा में आएंगे, लेकिन मैं कहना चाहता हूं कि यह नेटवर्क नोड इंटरनेट पर 4 बाहरी चैनलों के लिए एक ट्रैफिक बैलेंसर भी है, और प्रत्येक चैनल की अपनी विशेषताएं हैं . एक अन्य आधारशिला विभिन्न एड्रेस स्पेस में काम करने के लिए कई नेटवर्क इंटरफेस में से एक की आवश्यकता थी, और I तैयार है स्वीकार करें कि वीएलएएन का उपयोग हर जगह किया जा सकता है जहां आवश्यक हो और आवश्यक न हो तैयार नही. टीपी-लिंक टीएल-आर480टी+ जैसे उपकरण उपयोग में हैं - वे सामान्य तौर पर, अपनी बारीकियों के साथ पूरी तरह से व्यवहार नहीं करते हैं। उबंटू की आधिकारिक वेबसाइट की बदौलत इस हिस्से को लिनक्स पर कॉन्फ़िगर करना संभव हो सका आईपी ​​बैलेंसिंग: कई इंटरनेट चैनलों को एक में जोड़ना. इसके अलावा, प्रत्येक चैनल किसी भी समय "गिर" सकता है, साथ ही ऊपर भी उठ सकता है। यदि आप ऐसी स्क्रिप्ट में रुचि रखते हैं जो वर्तमान में काम कर रही है (और यह एक अलग प्रकाशन के लायक है), तो टिप्पणियों में लिखें।

विचाराधीन समाधान अद्वितीय होने का दावा नहीं करता है, लेकिन मैं सवाल पूछना चाहता हूं: "जब वैकल्पिक विकल्प पर विचार किया जा सकता है तो किसी उद्यम को गंभीर हार्डवेयर आवश्यकताओं वाले तीसरे पक्ष के संदिग्ध उत्पादों को क्यों अपनाना चाहिए?"

यदि रूसी संघ में रोसकोम्नाडज़ोर की एक सूची है, तो यूक्रेन में राष्ट्रीय सुरक्षा परिषद के निर्णय का एक अनुबंध है (उदाहरण के लिए)। यहां), फिर स्थानीय नेताओं को भी नींद नहीं आती. उदाहरण के लिए, हमें निषिद्ध साइटों की एक सूची दी गई थी, जो प्रबंधन की राय में, कार्यस्थल में उत्पादकता को ख़राब करती हैं।

अन्य उद्यमों में सहकर्मियों के साथ संचार करना, जहां डिफ़ॉल्ट रूप से सभी साइटें प्रतिबंधित हैं और केवल बॉस की अनुमति के अनुरोध पर ही आप एक विशिष्ट साइट तक पहुंच सकते हैं, सम्मानपूर्वक मुस्कुराते हुए, सोचते हुए और "समस्या पर धूम्रपान करते हुए", हमें यह समझ में आया कि जीवन अभी भी अच्छा है और हमने उनकी खोज शुरू कर दी।

ट्रैफ़िक फ़िल्टरिंग के बारे में "गृहिणियों की पुस्तकों" में वे क्या लिखते हैं, इसे न केवल विश्लेषणात्मक रूप से देखने का अवसर मिला, बल्कि यह भी देखने का अवसर मिला कि विभिन्न प्रदाताओं के चैनलों पर क्या हो रहा है, हमने निम्नलिखित व्यंजनों पर ध्यान दिया (कृपया कोई भी स्क्रीनशॉट थोड़ा क्रॉप किया गया है) पूछते समय समझें):

प्रदाता 1
- परेशान नहीं करता है और अपने स्वयं के DNS सर्वर और एक पारदर्शी प्रॉक्सी सर्वर लगाता है। ठीक है?.. लेकिन हमें वहां तक ​​पहुंच है जहां हमें इसकी आवश्यकता है (यदि हमें इसकी आवश्यकता है :))

प्रदाता 2
- उनका मानना ​​है कि उनके शीर्ष प्रदाता को इस बारे में सोचना चाहिए, शीर्ष प्रदाता के तकनीकी समर्थन ने यह भी स्वीकार किया कि मैं वह साइट क्यों नहीं खोल सका जिसकी मुझे आवश्यकता थी, जो निषिद्ध नहीं थी। मुझे लगता है कि तस्वीर आपका मनोरंजन करेगी :)

जैसा कि यह निकला, वे निषिद्ध साइटों के नामों को आईपी पते में अनुवादित करते हैं और आईपी को ही ब्लॉक कर देते हैं (उन्हें इस तथ्य से कोई परेशानी नहीं है कि यह आईपी पता 20 साइटों को होस्ट कर सकता है)।

प्रदाता 3
- यातायात को वहां जाने की अनुमति देता है, लेकिन उसे मार्ग पर वापस जाने की अनुमति नहीं देता है।

प्रदाता 4
- निर्दिष्ट दिशा में पैकेट के साथ सभी हेरफेरों को प्रतिबंधित करता है।

वीपीएन (ओपेरा ब्राउज़र के संबंध में) और ब्राउज़र प्लगइन्स के साथ क्या करें? सबसे पहले नोड मिकरोटिक के साथ खेलते हुए, हमें L7 के लिए एक संसाधन-गहन नुस्खा भी मिला, जिसे बाद में हमें छोड़ना पड़ा (और भी निषिद्ध नाम हो सकते हैं, यह दुखद हो जाता है, जब मार्गों के लिए अपनी प्रत्यक्ष जिम्मेदारियों के अलावा, 3 दर्जन पर) भाव PPC460GT प्रोसेसर लोड 100% हो जाता है)।

.

क्या स्पष्ट हुआ:
127.0.0.1 पर डीएनएस बिल्कुल रामबाण नहीं है; ब्राउज़र के आधुनिक संस्करण अभी भी आपको ऐसी समस्याओं से बचने की अनुमति देते हैं। सभी उपयोगकर्ताओं को कम अधिकारों तक सीमित करना असंभव है, और हमें वैकल्पिक DNS की बड़ी संख्या के बारे में नहीं भूलना चाहिए। इंटरनेट स्थिर नहीं है, और नए DNS पतों के अलावा, प्रतिबंधित साइटें नए पते खरीदती हैं, शीर्ष-स्तरीय डोमेन बदलती हैं, और अपने पते में एक वर्ण जोड़/हटा सकती हैं। लेकिन फिर भी कुछ इस तरह जीने का अधिकार है:

ip route add blackhole 1.2.3.4

निषिद्ध साइटों की सूची से आईपी पतों की सूची प्राप्त करना काफी प्रभावी होगा, लेकिन ऊपर बताए गए कारणों से, हम Iptables के बारे में विचार करने के लिए आगे बढ़े। CentOS Linux रिलीज़ 7.5.1804 पर पहले से ही एक लाइव बैलेंसर मौजूद था।

उपयोगकर्ता का इंटरनेट तेज़ होना चाहिए, और ब्राउज़र को आधे मिनट तक इंतजार नहीं करना चाहिए, जिससे यह निष्कर्ष निकले कि यह पृष्ठ उपलब्ध नहीं है। लंबी खोज के बाद हम इस मॉडल तक पहुंचे:
फ़ाइल 1 -> /स्क्रिप्ट/अस्वीकृत_होस्ट, निषिद्ध नामों की सूची:

test.test
blablabla.bubu
torrent
porno

फ़ाइल 2 -> /स्क्रिप्ट/अस्वीकृत_रेंज, निषिद्ध पता स्थानों और पतों की सूची:

192.168.111.0/24
241.242.0.0/16

स्क्रिप्ट फ़ाइल 3 -> ipt.shआईपीएबल्स के साथ कार्य करना:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

सूडो का उपयोग इस तथ्य के कारण है कि हमारे पास WEB इंटरफ़ेस के माध्यम से प्रबंधन के लिए एक छोटी सी हैक है, लेकिन जैसा कि एक वर्ष से अधिक समय तक ऐसे मॉडल का उपयोग करने के अनुभव से पता चला है, WEB इतना आवश्यक नहीं है। कार्यान्वयन के बाद, डेटाबेस आदि में साइटों की एक सूची जोड़ने की इच्छा हुई। अवरुद्ध होस्टों की संख्या 250 + एक दर्जन पता स्थान से अधिक है। https कनेक्शन के माध्यम से किसी साइट पर जाने पर वास्तव में एक समस्या होती है, जैसे सिस्टम प्रशासक, मुझे ब्राउज़रों के बारे में शिकायतें हैं :), लेकिन ये विशेष मामले हैं, संसाधन तक पहुंच की कमी के अधिकांश ट्रिगर अभी भी हमारी तरफ हैं , हम ओपेरा वीपीएन और माइक्रोसॉफ्ट के फ्रिगेट और टेलीमेट्री जैसे प्लगइन्स को भी सफलतापूर्वक ब्लॉक करते हैं।

स्रोत: www.habr.com