Značajke konfiguriranja DPI

Ovaj članak ne obrađuje potpunu konfiguraciju DPI i sve povezano s tim, a znanstvena vrijednost teksta je minimalna. Međutim, opisuje najjednostavniji način zaobilaženja DPI-a, koji su mnoge tvrtke zanemarile.

Upozorenje br. 1: Ovaj članak ima istraživački karakter, ne potiče nikoga na poduzimanje mjera ili korištenje informacija. Ideja se temelji na osobnom iskustvu, a svi sastanci su slučajni.

Upozorenje br. 2: U članku se ne otkrivaju tajne Atlantide, potrage za Svetim Gralom i druge misterije svemira, sav materijal je slobodno dostupan i moguće je da je već opisivan na Habu. (nisam našao, bio bih zahvalan za link)

Za one koji su pročitali upozorenja, krenimo.

Što je DPI?

DPI ili Dubinska Inspekcija Paketa je tehnologija prikupljanja statističkih podataka, provjere i filtriranja mrežnih paketa analizirajući ne samo zaglavlja paketa, već i cijeli sadržaj prometa na razinama OSI modela od drugog i više, što omogućuje otkrivanje i blokiranje virusa, filtriranje informacija koje ne zadovoljavaju zadane kriterije.

Postoje dvije vrste DPI veza, koje su opisane ValdikSS na githubu:

Pasivni DPI

DPI priključen u mrežu pružatelja usluga paralelno (ne u rez) ili putem pasivnog optičkog razdjeljivača, ili korištenjem preslikavanja odlaznog prometa korisnika. Ova vrsta povezivanja ne usporava brzinu rada mreže pružatelja usluga u slučaju nedovoljne učinkovitosti DPI-a, zbog čega se koristi kod velikih pružatelja. DPI s ovom vrstom povezivanja tehnički može samo otkriti pokušaje pristupa zabranjenom sadržaju, ali ne može ih spriječiti. Da bi zaobišao ovo ograničenje i blokirao pristup zabranjenim stranicama, DPI šalje korisniku koji pokušava pristupiti blokiranom URL-u posebno oblikovani HTTP paket s preusmjeravanjem na stranicu-propušćenicu pružatelja, kao da je taj odgovor poslao sam traženi resurs (lažira se IP adresa pošiljatelja i TCP slijed). Budući da je DPI fizički bliže korisniku nego tražena stranica, lažirani odgovor stiže do korisničkog uređaja brže nego pravi odgovor od stranice.

Aktivni DPI

Aktivni DPI – DPI povezani u mrežu pružatelja na uobičajen način, kao i bilo uređaj povezan u mrežu. Pružatelj konfigurira usmjeravanje tako da DPI dobiva promet od korisnika prema blokiranim IP adresama ili domenama, a DPI već donosi odluku o propuštanju ili blokiranju prometa. Aktivni DPI može provjeravati kako odlazni, tako i dolazni promet, međutim, ako pružatelj primjenjuje DPI samo za blokiranje web stranica iz registra, najčešće ga postavljaju za provjeru samo odlaznog prometa.

Tip veze utječe ne samo na učinkovitost blokiranja prometa, već i na opterećenje na DPI-u, stoga postoji mogućnost ne provjeravati sav promet, već samo određeni:

„Uobičajeni“ DPI

Pod „uobičajenim“ DPI-jem podrazumijeva se takav DPI koji filtrira određeni tip prometa samo na najčešće korištenim portovima za tu vrstu. Na primjer, „uobičajeni“ DPI otkriva i blokira zabranjeni HTTP promet samo na portu 80, HTTPS promet na portu 443. Ova vrsta DPI-a neće pratiti zabranjeni sadržaj ako pošaljete zahtjev s blokiranim URL-om na nezabranjenu IP adresu ili nestandardni port.

„Potpuni“ DPI

Za razliku od „uobičajenog“ DPI-a, ova vrsta DPI-a klasificira promet neovisno o IP adresi i portu. Na taj način, blokirane web stranice neće se otvarati, čak i ako koristite proxy poslužitelj na potpuno drugom portu i nezabranjenoj IP adresi.

Korištenje DPI-a

Kako ne bi došlo do smanjenja brzine prijenosa podataka, potrebno je koristiti „Uobičajeni“ pasivni DPI, koji omogućava učinkovito blokiranje bilo kakvih resursa, a prema zadanoj konfiguraciji to izgleda ovako:

• HTTP filtrirati samo na 80 portu
• HTTPS samo na 443 portu
• BitTorrent samo na portovima 6881-6889

No problemi počinju, ako resurs koristi drugi port kako ne bi izgubio korisnike, tada će biti potrebno provjeravati svaki paket, kao primjer može poslužiti:

• HTTP radi na 80 i 8080 portu
• HTTPS na 443 i 8443 portu
• BitTorrent na bilo kojem drugom rasponu

Zbog toga će biti potrebno ili preći na „Aktivni“ DPI, ili koristiti blokiranje putem dodatnog DNS poslužitelja.

Blokiranje putem DNS-a

Jedan od načina za blokiranje pristupa resursu je preuzimanje DNS zahtjeva putem lokalnog DNS poslužitelja i vraćanje korisniku IP adrese "zastavice" umjesto traženog resursa. Međutim, ovo ne garantira rezultat, jer postoji mogućnost sprječavanja zamjene adrese:

Opcija 1: Uređivanje datoteke hosts (za desktop)

Datoteka hosts je neizostavni dio svakog operativnog sustava, što omogućava uvijek korištenje. Da bi korisnik pristupio resursu, treba:

1. Saznati IP adresu traženog resursa
2. Otvoriti za uređivanje datoteku hosts (potrebna su administratorska prava), koja se nalazi na:
   • Linux: /etc/hosts
   • Windows: %WinDir%System32driversetchosts
3. Dodati redak u formatu:
4. Spremiti promjene

Prednost ove metode je njena složenost i zahtjevi za administratorskim pravima.

Opcija 2: DoH (DNS preko HTTPS) ili DoT (DNS preko TLS)

Ove metode omogućuju zaštitu od zamjene DNS zahtjeva putem enkripcije, ali implementacija nije podržana od svih aplikacija. Razmotrit ćemo jednostavnost postavljanja DoH za Mozilla Firefox verziju 66 s korisničke strane:

1. Posjetiti adresu about:config u Firefoxu
2. Potvrditi da korisnik preuzima sav rizik
3. Promijeniti vrijednost parametra network.trr.mode na:
   • 0 — isključiti TRR
   • 1 — automatski odabir
   • 2 — uključiti DoH prema zadanim postavkama
4. Promijeniti parametar network.trr.uri odabirući DNS poslužitelj
   • Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
   • Google DNS: dns.google.com/experimental
5. Promijeniti parametar network.trr.boostrapAddress na:
   • Ako je odabran Cloudflare DNS: 1.1.1.1
   • Ako je odabran Google DNS: 8.8.8.8
6. Promijeniti vrijednost parametra network.security.esni.enabled na true
7. Provjeriti ispravnost postavki putem Cloudflare usluge

Iako je ovaj pristup složeniji, ne zahtijeva postojeća administratorska prava korisnika, a postoje brojne druge metode zaštite DNS zahtjeva koje nisu opisane u ovom članku.

Opcija 3 (za mobilne uređaje):

Korištenje aplikacije od Cloudflare za Android i IOS.

Testiranje

Kako bi se provjerio nedostatak pristupa resursima, privremeno je otkupljena domenska adresa, blokirana na teritoriju RF:

• Provjera HTTP + 80 port
• Provjera HTTP + 8080 port
• Provjera HTTPS + 443 port
• Provjera HTTPS + 8443 port

Zaključak

Nadam se da će ova stranica biti korisna i potaknuti ne samo administratore da detaljnije istraže ovu temu, već i dati razumijevanje da resursi će uvijek biti na strani korisnika, a pronalazak novih rješenja trebao bi biti neizostavni dio za njih.

Koristitne veze

• Implementacija Encrypted SNI standarda u Firefoxu
• Autonomni način za zaobilaženje DPI-a

Dopuna izvan člankaTest na Cloudflare nije moguće proći u mreži operatera Tele2, a ispravno konfigurirani DPI blokira pristup testnoj platformi.
P.S. Ovo je prvi operator koji ispravno blokira resurse.

Izvor: habr.com