🥇ब्लॉकिंग को बायपास करने के लिए बीजीपी की स्थापना करना, या "कैसे मैंने डरना बंद कर दिया और आरकेएन से प्यार करने लगा"

ठीक है, ठीक है, "प्यार हो गया" के बारे में अतिशयोक्ति है। बल्कि "साथ रह सकते हैं"।

जैसा कि आप सभी जानते हैं, 16 अप्रैल, 2018 से, रोसकोम्नाडज़ोर बेहद व्यापक स्ट्रोक के साथ नेटवर्क पर संसाधनों तक पहुंच को अवरुद्ध कर रहा है, डोमेन नामों की एकीकृत रजिस्ट्री, इंटरनेट पर साइटों के पृष्ठों के संकेतक और नेटवर्क पते जोड़ रहा है जो आपको अनुमति देते हैं इंटरनेट पर उन साइटों की पहचान करें, जिनमें ऐसी जानकारी है, जिसका प्रसार रूसी संघ में निषिद्ध है” (पाठ में - सिर्फ एक रजिस्टर) /10 कभी-कभी। परिणामस्वरूप, रूसी संघ के नागरिकों और व्यवसायों को नुकसान उठाना पड़ता है, वे पूरी तरह से कानूनी संसाधनों तक पहुंच खो देते हैं जिनकी उन्हें आवश्यकता होती है।

जब मैंने हैबे पर एक लेख की टिप्पणियों में कहा कि मैं बाईपास योजना स्थापित करके पीड़ितों की मदद करने के लिए तैयार हूं, तो कई लोगों ने मुझसे ऐसी मदद के लिए संपर्क किया। जब सब कुछ उनके लिए काम कर गया, तो उनमें से एक ने एक लेख में तकनीक का वर्णन करने की सिफारिश की। विचार करने पर, मैंने साइट पर अपनी चुप्पी तोड़ने का फैसला किया और एक बार किसी प्रोजेक्ट और फेसबुक पर एक पोस्ट के बीच कुछ मध्यवर्ती लिखने का प्रयास किया, यानी। habrapost. नतीजा आपके सामने है.

Disclaimer

चूंकि रूसी संघ के क्षेत्र में निषिद्ध जानकारी तक पहुंच को अवरुद्ध करने के तरीकों को प्रकाशित करना बहुत कानूनी नहीं है, इस लेख का उद्देश्य उस विधि के बारे में बात करना होगा जो आपको क्षेत्र में अनुमत संसाधनों तक पहुंच को स्वचालित करने की अनुमति देता है। रूसी संघ का, लेकिन किसी के कार्यों के कारण सीधे आपके प्रदाता के माध्यम से पहुंच योग्य नहीं है। और लेख के कार्यों के परिणामस्वरूप प्राप्त अन्य संसाधनों तक पहुंच एक दुर्भाग्यपूर्ण दुष्प्रभाव है और किसी भी तरह से लेख का उद्देश्य नहीं है।

इसके अलावा, चूंकि मैं पेशे, व्यवसाय और जीवन पथ से मुख्य रूप से एक नेटवर्क आर्किटेक्ट हूं, प्रोग्रामिंग और लिनक्स मेरी ताकत नहीं हैं। इसलिए, निश्चित रूप से, स्क्रिप्ट बेहतर तरीके से लिखी जा सकती हैं, वीपीएस में सुरक्षा मुद्दों पर अधिक गहराई से काम किया जा सकता है, आदि। आपके सुझाव कृतज्ञतापूर्वक स्वीकार किए जाएंगे, यदि वे पर्याप्त विस्तृत हैं - मुझे उन्हें लेख के पाठ में जोड़ने में खुशी होगी।

TL, डॉ

हम रजिस्ट्री और बीजीपी प्रोटोकॉल की एक प्रति का उपयोग करके आपकी मौजूदा सुरंग के माध्यम से संसाधनों तक पहुंच को स्वचालित करते हैं। लक्ष्य अवरुद्ध संसाधनों से संबंधित सभी ट्रैफ़िक को सुरंग में हटाना है। न्यूनतम स्पष्टीकरण, अधिकतर चरण दर चरण निर्देश।

इसके लिए आपको क्या चाहिए

दुर्भाग्य से, यह पोस्ट सभी के लिए नहीं है. इस तकनीक का उपयोग करने के लिए, आपको कुछ तत्वों को एक साथ रखना होगा:

आपके पास ब्लॉकिंग फ़ील्ड के बाहर कहीं लिनक्स सर्वर होना चाहिए। या कम से कम ऐसा सर्वर शुरू करने की इच्छा - क्योंकि अब इसकी लागत $9/वर्ष है, और संभवतः कम भी। यह विधि भी उपयुक्त है यदि आपके पास एक अलग वीपीएन सुरंग है, तो सर्वर ब्लॉक फ़ील्ड के अंदर स्थित हो सकता है।
आपका राउटर इतना स्मार्ट होना चाहिए कि वह ऐसा कर सके
- कोई भी वीपीएन क्लाइंट जो आपको पसंद हो (मुझे ओपनवीपीएन पसंद है, लेकिन यह पीपीटीपी, एल2टीपी, जीआरई+आईपीएसईसी, और कोई अन्य विकल्प हो सकता है जो टनल इंटरफ़ेस बनाता है);
- बीजीपीवी4 प्रोटोकॉल. जिसका अर्थ है कि SOHO के लिए यह मिकरोटिक या OpenWRT/LEDE/समान कस्टम फर्मवेयर वाला कोई राउटर हो सकता है जो आपको क्वागा या बर्ड स्थापित करने की अनुमति देता है। पीसी राउटर का उपयोग भी निषिद्ध नहीं है। किसी उद्यम के लिए, बीजीपी समर्थन के लिए अपने बॉर्डर राउटर का दस्तावेज़ देखें।
आपको बीजीपी सहित लिनक्स उपयोग और नेटवर्क प्रौद्योगिकियों से परिचित होना चाहिए। या कम से कम उस विचार को प्राप्त करना चाहते हैं. चूँकि मैं इस बार विशालता को अपनाने के लिए तैयार नहीं हूँ, इसलिए आपको स्वयं ही कुछ ऐसे बिंदुओं का अध्ययन करना होगा जो आपके लिए समझ से बाहर हैं। हालाँकि, मैं निश्चित रूप से, टिप्पणियों में विशिष्ट प्रश्नों का उत्तर दूंगा और यह संभावना नहीं है कि मैं उत्तर देने वाला अकेला व्यक्ति होऊंगा, इसलिए बेझिझक पूछें।

उदाहरण में क्या प्रयोग किया गया है

रजिस्टर की प्रति https://github.com/zapret-info/z-i
वीपीएस - उबंटू 16.04
रूटिंग सेवा - पक्षी २
राउटर - मिकरोटिक एचएपी एसी
कार्यशील फ़ोल्डर्स - चूँकि हम रूट के रूप में कार्य कर रहे हैं, अधिकांश सभी चीज़ें रूट होम फ़ोल्डर में रखी जाएंगी। क्रमश:
- /रूट/ब्लैकलिस्ट - संकलन स्क्रिप्ट के साथ कार्यशील फ़ोल्डर
- /root/zi - जीथब से रजिस्ट्री की एक प्रति
- /etc/पक्षी - मानक पक्षी सेवा सेटिंग्स फ़ोल्डर
हम रूटिंग सर्वर और टनल समाप्ति बिंदु के साथ वीपीएस के बाहरी आईपी पते के रूप में 194.165.22.146, एएसएन 64998 स्वीकार करते हैं; राउटर का बाहरी आईपी पता - 81.177.103.94, एएसएन 64999
सुरंग के अंदर आईपी पते क्रमशः 172.30.1.1 और 172.30.1.2 हैं।

बेशक, आप किसी भी अन्य राउटर, ऑपरेटिंग सिस्टम और सॉफ्टवेयर उत्पादों का उपयोग कर सकते हैं, उनके तर्क के अनुरूप समाधान को समायोजित कर सकते हैं।

संक्षेप में - समाधान का तर्क

प्रारंभिक क्रियाएं
1. वीपीएस प्राप्त करना
2. हम सुरंग को राउटर से वीपीएस तक बढ़ाते हैं
रजिस्ट्री की एक प्रति प्राप्त करना और उसे नियमित रूप से अद्यतन करना
रूटिंग सेवा को स्थापित और कॉन्फ़िगर करना
रजिस्ट्री के आधार पर रूटिंग सेवा के लिए स्थिर मार्गों की एक सूची बनाएं
हम राउटर को सेवा से जोड़ते हैं और सुरंग के माध्यम से सभी ट्रैफ़िक भेजने की व्यवस्था करते हैं।

वास्तविक निर्णय

प्रारंभिक क्रियाएं

नेटवर्क की विशालता में ऐसी कई सेवाएँ हैं जो बेहद उचित पैसे पर वीपीएस प्रदान करती हैं। अब तक, मैंने $9/वर्ष का विकल्प ढूंढा है और उसका उपयोग किया है, लेकिन भले ही आप वास्तव में परेशान न हों, हर कोने पर 1ई/माह के लिए बहुत सारे विकल्प हैं। वीपीएस चुनने का प्रश्न इस लेख के दायरे से कहीं परे है, इसलिए यदि किसी को इसके बारे में कुछ स्पष्ट नहीं है, तो टिप्पणियों में पूछें।

यदि आप वीपीएस का उपयोग न केवल रूटिंग सेवा के लिए करते हैं, बल्कि उस पर एक सुरंग को समाप्त करने के लिए भी करते हैं, तो आपको इस सुरंग को ऊपर उठाना होगा और, लगभग स्पष्ट रूप से, इसके लिए NAT को कॉन्फ़िगर करना होगा। इन कार्यों के लिए नेटवर्क पर बड़ी संख्या में निर्देश हैं, मैं उन्हें यहां नहीं दोहराऊंगा। ऐसी सुरंग के लिए मुख्य आवश्यकता यह है कि इसे आपके राउटर पर एक अलग इंटरफ़ेस बनाना होगा जो वीपीएस की ओर सुरंग का समर्थन करता है। अधिकांश उपयोग की जाने वाली वीपीएन प्रौद्योगिकियां इस आवश्यकता को पूरा करती हैं - उदाहरण के लिए, ट्यून मोड में ओपनवीपीएन ठीक है।

रजिस्ट्री की एक प्रति प्राप्त करें

जैसा कि जबरायिल ने कहा, "जो हमें रोकता है वह हमारी मदद करेगा।" चूंकि आरकेएन निषिद्ध संसाधनों की एक रजिस्ट्री बना रहा है, इसलिए हमारी समस्या को हल करने के लिए इस रजिस्ट्री का उपयोग न करना पाप होगा। हमें जीथब से रजिस्ट्री की एक प्रति प्राप्त होगी।

हम आपके लिनक्स सर्वर पर जाते हैं, रूट'ए के संदर्भ में आते हैं (सुडो सु -) और यदि यह पहले से इंस्टॉल नहीं है तो git इंस्टॉल करें।

apt install git

अपनी होम निर्देशिका पर जाएँ और रजिस्ट्री की एक प्रति निकालें।

cd ~ && git clone --depth=1 https://github.com/zapret-info/z-i

एक क्रॉन अपडेट सेट करें (मेरे पास यह हर 20 मिनट में होता है, लेकिन आप कोई भी अंतराल चुन सकते हैं जिसमें आपकी रुचि हो)। ऐसा करने के लिए, हम लॉन्च करते हैं crontab -e और इसमें निम्नलिखित पंक्ति जोड़ें:

*/20 * * * * cd ~/z-i && git pull && git gc

हम एक हुक कनेक्ट करते हैं जो रजिस्ट्री को अपडेट करने के बाद रूटिंग सेवा के लिए फ़ाइलें बनाएगा। इसके लिए हम एक फाइल बनाते हैं /root/zi/.git/hooks/post-merge निम्नलिखित सामग्री के साथ:

#!/usr/bin/env bash
changed_files="$(git diff-tree -r --name-only --no-commit-id ORIG_HEAD HEAD)"
check_run() {
    echo "$changed_files" | grep --quiet "$1" && eval "$2"
}
check_run dump.csv "/root/blacklist/makebgp"

और इसे निष्पादन योग्य बनाना न भूलें

chmod +x /root/z-i/.git/hooks/post-merge

हुक द्वारा संदर्भित मेकबीजीपी स्क्रिप्ट बाद में बनाई जाएगी।

रूटिंग सेवा को स्थापित और कॉन्फ़िगर करना

पक्षी स्थापित करें. दुर्भाग्य से, वर्तमान में उबंटू रिपॉजिटरी में जारी पक्षी का संस्करण ताजगी में आर्कियोप्टेरिक्स मल के बराबर है, इसलिए हमें पहले सॉफ्टवेयर डेवलपर्स के आधिकारिक पीपीए को सिस्टम में जोड़ना होगा।

add-apt-repository ppa:cz.nic-labs/bird
apt update
apt install bird

उसके बाद, हम तुरंत IPv6 के लिए बर्ड को अक्षम कर देते हैं - इस इंस्टॉलेशन में हमें इसकी आवश्यकता नहीं होगी।

systemctl stop bird6
systemctl disable bird6

नीचे पक्षी सेवा के लिए एक न्यूनतम कॉन्फ़िगरेशन फ़ाइल है (/etc/bird/bird.conf), जो हमारे लिए काफी है (और एक बार फिर मैं आपको याद दिलाता हूं कि कोई भी आपकी आवश्यकताओं के अनुरूप विचार को विकसित करने और समायोजित करने से मना नहीं करता है)

log syslog all;
router id 172.30.1.1;

protocol kernel {
        scan time 60;
        import none;
#       export all;   # Actually insert routes into the kernel routing table
}

protocol device {
        scan time 60;
}

protocol direct {
        interface "venet*", "tun*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
        import all;
        include "pfxlist.txt";
        #include "iplist.txt";
}

protocol bgp OurRouter {
        description "Our Router";
        neighbor 81.177.103.94 as 64999;
        import none;
        export where proto = "static_bgp";
        local as 64998;
        passive off;
        multihop;
}

राउटर आईडी - राउटर पहचानकर्ता, दिखने में IPv4 पते जैसा दिखता है, लेकिन ऐसा नहीं है। हमारे मामले में, यह IPv32 एड्रेस फॉर्मेट में कोई भी 4-बिट नंबर हो सकता है, लेकिन वहां अपने डिवाइस (इस मामले में, VPS) का IPv4 एड्रेस निर्दिष्ट करना अच्छा अभ्यास है।

प्रोटोकॉल डायरेक्ट यह निर्धारित करता है कि कौन सा इंटरफ़ेस रूटिंग प्रक्रिया के साथ काम करेगा। उदाहरण में नामों के कुछ उदाहरण दिए गए हैं, आप और जोड़ सकते हैं। आप बस लाइन को हटा भी सकते हैं, ऐसी स्थिति में सर्वर IPv4 पते के साथ सभी उपलब्ध इंटरफेस को सुनेगा।

प्रोटोकॉल स्टैटिक हमारा जादू है जो बाद की घोषणा के लिए फ़ाइलों से उपसर्गों और आईपी पते (जो निश्चित रूप से, /32 उपसर्ग हैं) की सूची लोड करता है। ये सूचियाँ कहाँ से आती हैं, इसकी चर्चा नीचे की जाएगी। कृपया ध्यान दें कि आईपी पते की लोडिंग पर डिफ़ॉल्ट रूप से टिप्पणी की जाती है, इसका कारण बड़ी मात्रा में अपलोडिंग है। तुलना के लिए, लेख लिखने के समय, उपसर्गों की सूची में 78 पंक्तियाँ हैं, और आईपी पते की सूची में 85898 हैं। मैं दृढ़ता से अनुशंसा करता हूं कि आप केवल उपसर्गों की सूची पर प्रारंभ और डीबग करें, और निर्णय लें कि क्या नहीं अपने राउटर के साथ प्रयोग करने के बाद भविष्य में आईपी लोडिंग सक्षम करने के लिए। उनमें से हर कोई राउटिंग टेबल में 85 हजार प्रविष्टियों को आसानी से पचा नहीं सकता है।

प्रोटोकॉल बीजीपी वास्तव में आपके राउटर के साथ बीजीपी पियरिंग सेट करता है। आईपी-एड्रेस राउटर के बाहरी इंटरफ़ेस का पता है (या राउटर के किनारे से टनल इंटरफ़ेस का पता), 64998 और 64999 स्वायत्त सिस्टम की संख्या हैं। इस मामले में, उन्हें किसी भी 16-बिट संख्या के रूप में असाइन किया जा सकता है, लेकिन RFC6996 - 64512-65534 समावेशी द्वारा परिभाषित निजी श्रेणी से एएस संख्याओं का उपयोग करना अच्छा अभ्यास है (32-बिट एएसएन प्रारूप है, लेकिन हमारे मामले में यह निश्चित रूप से अति है)। वर्णित कॉन्फ़िगरेशन ईबीजीपी पियरिंग का उपयोग करता है, जिसमें रूटिंग सेवा और राउटर की स्वायत्त प्रणाली संख्याएं अलग-अलग होनी चाहिए।

जैसा कि आप देख सकते हैं, सेवा को राउटर का आईपी पता जानने की आवश्यकता है, इसलिए यदि आपके पास गतिशील या गैर-रूटेबल निजी (आरएफसी1918) या साझा (आरएफसी6598) पता है, तो आपके पास बाहरी इंटरफ़ेस पर पियरिंग बढ़ाने का कोई विकल्प नहीं है। लेकिन सेवा अभी भी सुरंग के अंदर काम करेगी।

यह भी काफी पारदर्शी है कि आप एक सेवा से मार्गों के साथ कई अलग-अलग राउटर प्रदान कर सकते हैं - बस पड़ोसी के आईपी पते को बदलने के साथ प्रोटोकॉल बीजीपी अनुभाग की प्रतिलिपि बनाकर उनके लिए सेटिंग्स डुप्लिकेट करें। यही कारण है कि उदाहरण सुरंग के बाहर झाँकने की सेटिंग्स को सबसे सार्वभौमिक के रूप में दिखाता है। सेटिंग्स में आईपी एड्रेस को तदनुसार बदलकर उन्हें सुरंग में हटाना मुश्किल नहीं है।

रूटिंग सेवा के लिए रजिस्ट्री प्रसंस्करण

अब हमें वास्तव में, उपसर्गों और आईपी-पते की सूची बनाने की आवश्यकता है, जिनका उल्लेख प्रोटोकॉल स्टेटिक में पिछले चरण में किया गया है। ऐसा करने के लिए, हम रजिस्ट्री फ़ाइल लेते हैं और निम्नलिखित स्क्रिप्ट के साथ उसमें से आवश्यक फ़ाइलें बनाते हैं /रूट/ब्लैकलिस्ट/मेकबीजीपी

#!/bin/bash
cut -d";" -f1 /root/z-i/dump.csv| tr '|' 'n' |  tr -d ' ' > /root/blacklist/tmpaddr.txt
cat /root/blacklist/tmpaddr.txt | grep / | sed 's_.*_route & reject;_' > /etc/bird/pfxlist.txt
cat /root/blacklist/tmpaddr.txt | sort | uniq | grep -Eo "([0-9]{1,3}[.]){3}[0-9]{1,3}" | sed 's_.*_route &/32 reject;_' > /etc/bird/iplist.txt
/etc/init.d/bird reload
logger 'bgp list compiled'

इसे निष्पादन योग्य बनाना न भूलें

chmod +x /root/blacklist/makebgp

अब आप इसे मैन्युअल रूप से चला सकते हैं और /etc/bird में फ़ाइलों का स्वरूप देख सकते हैं।

सबसे अधिक संभावना है, इस समय पक्षी आपके लिए काम नहीं करता है, क्योंकि पिछले चरण में आपने सुझाव दिया था कि यह उन फ़ाइलों की खोज करे जो अभी तक मौजूद नहीं हैं। इसलिए, हम इसे लॉन्च करते हैं और नियंत्रित करते हैं कि यह शुरू हो:

systemctl start bird
birdc show route

दूसरे कमांड के आउटपुट में लगभग 80 प्रविष्टियाँ दिखनी चाहिए (यह इस समय है, और जब आप इसे सेट करते हैं, तो सब कुछ नेटवर्क को अवरुद्ध करने में ILV के उत्साह पर निर्भर करेगा) इस तरह:

54.160.0.0/12      unreachable [static_bgp 2018-04-19] * (200)

टीम

birdc show protocol

सेवा के भीतर प्रोटोकॉल की स्थिति दिखाएगा। जब तक आप राउटर को कॉन्फ़िगर नहीं करते (अगला पैराग्राफ देखें), हमारा राउटर प्रोटोकॉल प्रारंभ स्थिति (कनेक्ट या सक्रिय चरण) में होगा, और एक सफल कनेक्शन के बाद, यह अप स्थिति (स्थापित चरण) में चला जाएगा। उदाहरण के लिए, मेरे सिस्टम पर, इस कमांड का आउटपुट इस तरह दिखता है:

BIRD 1.6.3 ready.
name     proto    table    state  since       info
kernel1  Kernel   master   up     2018-04-19
device1  Device   master   up     2018-04-19
static_bgp Static   master   up     2018-04-19
direct1  Direct   master   up     2018-04-19
RXXXXXx1 BGP      master   up     13:10:22    Established
RXXXXXx2 BGP      master   up     2018-04-24  Established
RXXXXXx3 BGP      master   start  2018-04-22  Connect       Socket: Connection timed out
RXXXXXx4 BGP      master   up     2018-04-24  Established
RXXXXXx5 BGP      master   start  2018-04-24  Passive

राउटर कनेक्ट करना

शायद हर कोई इस फ़ुटक्लॉथ को पढ़कर पहले ही थक चुका है, लेकिन हिम्मत रखें - अंत निकट है। इसके अलावा, इस अनुभाग में मैं चरण-दर-चरण निर्देश नहीं दे पाऊंगा - यह प्रत्येक निर्माता के लिए अलग होगा।

हालाँकि, मैं आपको कुछ उदाहरण दिखा सकता हूँ। मुख्य तर्क बीजीपी पियरिंग को बढ़ाना और सभी प्राप्त उपसर्गों में नेक्स्टहॉप संलग्न करना है, जो हमारी सुरंग की ओर इशारा करता है (यदि आपको पी2पी इंटरफ़ेस के माध्यम से ट्रैफ़िक आउटपुट करने की आवश्यकता है) या नेक्स्टहॉप आईपी-एड्रेस यदि ट्रैफ़िक ईथरनेट पर जाता है)।

उदाहरण के लिए, राउटरओएस में मिक्रोटिक पर, इसे निम्नानुसार हल किया गया है

/routing bgp instance set default as=64999 ignore-as-path-len=yes router-id=172.30.1.2
/routing bgp peer add in-filter=dynamic-in multihop=yes name=VPS remote-address=194.165.22.146 remote-as=64998 ttl=default
/routing filter add action=accept chain=dynamic-in protocol=bgp comment="Set nexthop" set-in-nexthop=172.30.1.1

और सिस्को आईओएस में - इस तरह

router bgp 64999
  neighbor 194.165.22.146 remote-as 64998
  neighbor 194.165.22.146 route-map BGP_NEXT_HOP in
  neighbor 194.165.22.146 ebgp-multihop 250
!
route-map BGP_NEXT_HOP permit 10
  set ip next-hop 172.30.1.1

इस घटना में कि एक ही सुरंग का उपयोग बीजीपी पीयरिंग और उपयोगी ट्रैफ़िक संचारित करने के लिए किया जाता है, नेक्स्टहॉप सेट करना आवश्यक नहीं है, इसे प्रोटोकॉल के माध्यम से सही ढंग से सेट किया जाएगा। लेकिन अगर आप इसे मैन्युअल रूप से सेट करते हैं, तो यह और भी खराब नहीं होगा।

अन्य प्लेटफ़ॉर्म पर, आपको स्वयं कॉन्फ़िगरेशन का पता लगाना होगा, लेकिन यदि आपको कोई कठिनाई है, तो टिप्पणियों में लिखें, मैं मदद करने का प्रयास करूंगा।

आपके बीजीपी सत्र के समाप्त होने के बाद, बड़े नेटवर्क के मार्ग आ गए हैं और तालिका में स्थापित हो गए हैं, उनसे पते पर ट्रैफ़िक चला गया है और खुशी करीब है, आप पक्षी सेवा पर वापस लौट सकते हैं और वहां उस प्रविष्टि को अनकम्मेंट करने का प्रयास कर सकते हैं जो कनेक्ट करती है आईपी पते की सूची, उसके बाद निष्पादित करें

systemctl reload bird

और देखें कि आपके राउटर ने इन 85 हजार मार्गों को कैसे स्थानांतरित किया। इसे बंद करने के लिए तैयार हो जाइए और सोचिए कि इसके साथ क्या करना है 🙂

कुल मिलाकर

विशुद्ध रूप से सैद्धांतिक रूप से, उपरोक्त चरणों को करने के बाद, आपके पास एक ऐसी सेवा है जो स्वचालित रूप से फ़िल्टरिंग सिस्टम के बाद रूसी संघ में प्रतिबंधित आईपी पते पर ट्रैफ़िक को पुनर्निर्देशित करती है।

निस्संदेह, इसमें सुधार किया जा सकता है। उदाहरण के लिए, पर्ल या पायथन समाधानों के माध्यम से आईपी पते की सूची को संक्षेप में प्रस्तुत करना काफी आसान है। Net::CIDR::Lite के साथ ऐसा करने वाली एक सरल पर्ल स्क्रिप्ट 85 हजार उपसर्गों को 60 (हजार नहीं) में बदल देती है, लेकिन स्वाभाविक रूप से अवरुद्ध किए गए पतों की तुलना में कहीं अधिक बड़ी रेंज को कवर करती है।

चूंकि सेवा आईएसओ/ओएसआई मॉडल के तीसरे स्तर पर संचालित होती है, इसलिए यदि यह रजिस्ट्री में दर्ज पते पर समाधान नहीं करती है तो यह आपको साइट/पेज ब्लॉकिंग से नहीं बचाएगी। लेकिन github से रजिस्ट्री के साथ, nxdomain.txt फ़ाइल आती है, जो स्क्रिप्ट के कुछ स्ट्रोक के साथ आसानी से पते के स्रोत में बदल जाती है, उदाहरण के लिए, क्रोम में स्विचीओमेगा प्लगइन।

यह भी उल्लेख किया जाना चाहिए कि यदि आप न केवल एक इंटरनेट उपयोगकर्ता हैं, बल्कि स्वयं से कुछ संसाधन भी प्रकाशित करते हैं (उदाहरण के लिए, एक वेबसाइट या मेल सर्वर इस कनेक्शन पर चलता है) तो समाधान को अतिरिक्त शार्पनिंग की आवश्यकता होती है। राउटर के माध्यम से, आपको इस सेवा से अपने सार्वजनिक पते पर आउटगोइंग ट्रैफ़िक को हार्ड-बाइंड करने की आवश्यकता है, अन्यथा आप उन संसाधनों के साथ कनेक्टिविटी खो देंगे जो राउटर द्वारा प्राप्त उपसर्गों की सूची में शामिल हैं।

यदि आपके कोई प्रश्न हैं - पूछें, उत्तर देने के लिए तैयार हैं।

युपीडी. धन्यवाद नेवियन и टेरएनयू डाउनलोड वॉल्यूम कम करने के लिए git के विकल्पों के लिए।

UPD2. सहकर्मियों, ऐसा लगता है कि मैंने लेख में वीपीएस और राउटर के बीच सुरंग स्थापित करने के निर्देश न जोड़कर गलती की है। इससे बहुत सारे सवाल उठते हैं.
बस मामले में, मैं फिर से नोट करता हूं - यह माना जाता है कि इस गाइड में चरण शुरू करने से पहले, आपने पहले से ही वीपीएन सुरंग को उस दिशा में कॉन्फ़िगर कर लिया है जिसकी आपको ज़रूरत है और इसके प्रदर्शन की जांच की है (उदाहरण के लिए, डिफ़ॉल्ट या स्थिर रूप से वहां ट्रैफ़िक लपेटना)। यदि आपने अभी तक यह चरण पूरा नहीं किया है, तो लेख के चरणों का पालन करने का वास्तव में कोई मतलब नहीं है। इस पर अभी तक मेरा अपना पाठ नहीं है, लेकिन यदि आप Google पर VPS पर स्थापित ऑपरेटिंग सिस्टम के नाम के साथ "OpenVPN सर्वर सेटअप" और अपने राउटर के नाम के साथ "OpenVPN क्लाइंट सेटअप" खोजते हैं, तो संभवतः आप इस विषय पर हेब्रे सहित कई लेख मिलेंगे।

यूपीडी3. अत्याधिक एक कोड लिखा जो आईपी पते के वैकल्पिक योग के साथ डंप.सीएसवी से पक्षी के लिए परिणामी फ़ाइल बनाता है। इसलिए, "रूटिंग सेवा के लिए रजिस्ट्री प्रोसेसिंग" अनुभाग को इसके प्रोग्राम के लिए कॉल से बदला जा सकता है। https://habr.com/post/354282/#comment_10782712

UPD4. त्रुटियों पर थोड़ा काम (पाठ में योगदान नहीं दिया गया):
1) इसके बजाय systemctl पुनः लोड पक्षी कमांड का उपयोग करना समझ में आता है बर्डसी कॉन्फ़िगर करें.
2) मिकरोटिक राउटर में, नेक्स्ट-हॉप को सुरंग के दूसरे पक्ष के आईपी में बदलने के बजाय /रूटिंग फिल्टर एक्शन जोड़ें=श्रृंखला स्वीकार करें=डायनेमिक-इन प्रोटोकॉल=बीजीपी टिप्पणी='नेक्स्टहॉप सेट करें' सेट-इन-नेक्सथॉप=172.30.1.1 पते के बिना, सीधे सुरंग इंटरफ़ेस के लिए मार्ग निर्दिष्ट करना समझ में आता है /रूटिंग फ़िल्टर क्रिया जोड़ें=श्रृंखला स्वीकार करें=डायनामिक-इन प्रोटोकॉल=बीजीपी टिप्पणी='नेक्स्टहॉप सेट करें' सेट-इन-नेक्स्टहॉप-डायरेक्ट=<इंटरफ़ेस नाम>

UPD5. एक नई सेवा आ गई है https://antifilter.download, जहां से आप आईपी-पते की तैयार सूची ले सकते हैं। हर आधे घंटे में अपडेट किया जाता है. क्लाइंट की ओर से, जो कुछ बचा है वह प्रविष्टियों को संबंधित "रूट ... रिजेक्ट" के साथ फ्रेम करना है।
और शायद यह मेरी दादी को झकझोरने और लेख को अपडेट करने के लिए पर्याप्त है।

UPD6. उन लोगों के लिए लेख का एक संशोधित संस्करण जो समझना नहीं चाहते, लेकिन शुरू करना चाहते हैं - यहां.

स्रोत: www.habr.com

ब्लॉकिंग को बायपास करने के लिए बीजीपी की स्थापना, या "कैसे मैंने डरना बंद किया और आरकेएन से प्यार हो गया"