Ez a cikk nem tárgyalja a DPI teljes beállítását és kapcsolódó aspektusait, és a szöveg tudományos értéke minimális. De bemutat egy egyszerű módszert a DPI megkerülésére, amelyet sok cég figyelmen kívül hagyott.
Figyelmeztetés №1: ez a cikk kutatási jellegű, nem ösztönöz senkit semmiféle intézkedésre vagy használatra. Az ötlet személyes tapasztalaton alapul, és bármely egybeesés véletlenszerű.
Figyelmeztetés №2: a cikk nem tárja fel Atlantisz titkait, a Szent Grál keresését és egyéb univerzumbeli rejtélyeket, az anyag minden része szabadon hozzáférhető, és valószínűleg már többször le lett írva a HAbon. (nem találtam, a hivatkozásért hálás lennék)
Aki elolvasta a figyelmeztetéseket, kezdjük.
Mi az a DPI?
A DPI vagy Deep Packet Inspection - egy statisztikai adatok gyűjtésére, a hálózati csomagok ellenőrzésére és szűrésére szolgáló technológia, amely nemcsak a csomagok fejléceit, hanem a forgalom teljes tartalmát is elemzi az OSI-modell második és magasabb szintjein, lehetővé téve vírusok észlelését, olyan információk szűrését, amelyek nem felelnek meg a megadott kritériumoknak.
Kétféle DPI csatlakozás létezik, amelyeket az alábbiakban írok le. :
Passzív DPI
A DPI, amely párhuzamosan csatlakozik a szolgáltató hálózatához (nem sorosan), vagy passzív optikai osztón keresztül, vagy a felhasználók forgalmának tükörképzésével. Ez a csatlakozási típus nem lassítja a szolgáltató hálózatának sebességét, ha a DPI teljesítménye nem elegendő, ezért nagyobb szolgáltatóknál alkalmazzák. A DPI ilyen típusú csatlakozással technikailag csak a tiltotta tartalomra irányuló kérelmeket képes észlelni, de nem tudja megakadályozni őket. E korlátozás megkerülésére és a hozzáférés blokkolására a DPI egy speciálisan kialakított HTTP-csomagot küld a felhasználónak, aki a tiltott URL-t kéri, átirányítva őt a szolgáltató ügyfélfogadó oldalára, mintha ilyen választ a kért forrástól kapott volna (hamisítja a feladó IP-címét és a TCP szekvenciát). Mivel a DPI fizikailag közelebb található a felhasználóhoz, mint a kért webhely, a hamisított válasz gyorsabban eljut a felhasználó eszközéhez, mint a tényleges válasz a webhelytől.
Aktív DPI
Aktív DPI – a DPI, amely a szolgáltató hálózatához szokásos módon csatlakozik, akárcsak bármely más hálózati eszköz. A szolgáltató úgy konfigurálja az útvonalválasztást, hogy a DPI forgalmat kapjon a felhasználóktól a blokkolt IP-címekhez vagy domainekhez, míg a DPI döntéseket hoz a forgalom átengedéséről vagy blokkolásáról. Az aktív DPI képes ellenőrizni a kimenő és bejövő forgalmat is, azonban ha a szolgáltató a DPI-t csak a nyilvántartásból származó webhelyek blokkolására alkalmazza, akkor gyakran csak a kimenő forgalom ellenőrzésére állítják be.
A kapcsolat típusa nemcsak a forgalom blokkolásának hatékonyságát befolyásolja, hanem a DPI terhelését is, ezért van lehetőség a teljes forgalom helyett csak meghatározott forgalom ellenőrzésére:
„Szokásos” DPI
A „szokásos” DPI olyan DPI-t jelent, amely a forgalom egy bizonyos típusát csak a legelterjedtebb portokon szűri. Például a „szokásos” DPI az engedélyezett HTTP-forgalmat csak a 80-as porton azonosítja és blokkolja, a HTTPS-forgalmat pedig a 443-as porton. Ez a típus nem követi nyomon a tiltott tartalmakat, ha blokkolt URL-t küld a blokkolás alá nem eső IP-címre vagy nem szabványos portra.
„Teljes” DPI
A „szokásos” DPI-től eltérően ez a típus IP-cím és port nélkül osztályozza a forgalmat. Így a blokkolt weboldalak nem fognak megnyílni, akkor sem, ha proxy szervert használunk teljesen más porton és blokkolás alá nem eső IP-címen.
A DPI használata
A sebességcsökkentés elkerülése érdekében „Szokásos” passzív DPI-t kell használni, amely hatékonyan blokkolhat bármilyen forrást, az alapértelmezett konfiguráció a következőképpen néz ki:
- HTTP szűrése kizárólag a 80-as porton
- HTTPS csak a 443-as porton
- BitTorrent csak a 6881-6889-es portokon
De a problémák akkor kezdődnek, ha a forrás más portot használ, hogy ne veszítsen felhasználókat, akkor minden csomagot ellenőrizni kell, például:
- HTTP a 80-as és 8080-as porton működik
- HTTPS a 443-as és 8443-as porton
- BitTorrent bármely más tartományban
Ezért vagy váltani kell az „Aktív” DPI-re, vagy blokkolást kell alkalmazni egy további DNS-szerveren keresztül.
Blokkolás DNS segítségével
Az erőforráshoz való hozzáférés blokkolásának egyik módja a DNS-kérés megzavarása egy helyi DNS-szerver segítségével, amely egy "placeholder" IP címet ad vissza a felhasználónak, nem pedig a kívánt erőforrást. De ez nem garantálja az eredményt, mivel van lehetőség az IP-cím hamisításának megakadályozására:
1. lehetőség: Hosts fájl szerkesztése (asztali számítógéphez)
A hosts fájl bármely operációs rendszer elengedhetetlen része, ami lehetővé teszi a használatát. Az erőforráshoz való hozzáféréshez a felhasználónak:
- Meg kell ismernie a kívánt erőforrás IP-címét
- Meg kell nyitnia a hosts fájlt szerkesztésre (adminisztrátori jogok szükségesek), amely itt található:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
- Egy sort kell hozzáadni a következő formátumban:
- A módosításokat menteni kell
A módszer előnye a nehézsége és az adminisztrátori jogok meglétét igényli.
2. lehetőség: DoH (DNS over HTTPS) vagy DoT (DNS over TLS)
Ezek a módszerek lehetőséget adnak a DNS-kérések hamisításának védelmére titkosítással, de nem minden alkalmazás támogatja a megvalósítást. Nézzük meg a DoH egyszerű beállítását a Mozilla Firefox 66 verziójában a felhasználó oldaláról:
- Lépjen a következő címre a Firefox-ban
- Megerősíti, hogy a felhasználó vállalja az összes kockázatot
- Megváltoztatja a beállítás értékét network.trr.mode az alábbiakra:
- 0 — TRR letiltása
- 1 — automatikus választás
- 2 — DoH alapértelmezett bekapcsolása
- Megváltoztatja a beállítást network.trr.uri választott DNS-szerverként
- Cloudflare DNS:
- Google DNS:
- Megváltoztatja a beállítást network.trr.boostrapAddress az alábbiakra:
- Ha a Cloudflare DNS-t választotta: 1.1.1.1
- Ha a Google DNS-t választotta: 8.8.8.8
- Megváltoztatja a beállítás értékét network.security.esni.enabled Gyorsan emlékezzünk vissza, hogyan működik a moduláris aritmetika. Az óra már egy ismert koncepció. Az órák használata igaz
- Ellenőrizze a beállítás helyességét a
Bár ez a módszer bonyolultabb, nem igényel adminisztrátori jogokat a felhasználótól, és számos más DNS-kérés védelmi módszer létezik, amelyek nincsenek részletezve ebben a cikkben.
3. lehetőség (mobil eszközökhöz):
A Cloudflare alkalmazás használata és .
Tesztelés
Az erőforrásokhoz való hozzáférés hiányának ellenőrzésére ideiglenesen megvásároltak egy domaint, amelyet Oroszország területén blokkoltak:
Zárás
Remélem, hogy ez a cikk hasznos lesz, és nemcsak az adminisztrátorokat ösztönzi a téma alaposabb megismerésére, hanem megérteti, hogy az erőforrások mindig a felhasználó oldalán lesznek, és az új megoldások keresése elengedhetetlen részét kell képezze számukra.
Hasznos linkek
Kiegészítés a cikken kívülA Cloudflare tesztet nem lehet teljesíteni a Tele2 szolgáltatóján, és a megfelelően konfigurált DPI blokkolja a tesztelési platform elérését.
P.S. Ez az első szolgáltató, amely helyesen blokkolja az erőforrásokat.
Forrás: habr.com
