תכונות של הגדרות DPI

מאמר זה אינו מכסה התאמה מלאה של DPI וכל מה שקשור יחד, והערך המדעי של הטקסט הוא מינימלי. אבל הוא מתאר את הדרך הפשוטה ביותר לעקוף את DPI, שחברות רבות לא לקחו בחשבון.

כתב ויתור מס' 1: מאמר זה הוא בעל אופי מחקרי ואינו מעודד אף אחד לעשות או להשתמש בשום דבר. הרעיון מבוסס על ניסיון אישי, וכל דמיון הוא אקראי.

אזהרה מס' 2: המאמר אינו חושף את סודות אטלנטיס, החיפוש אחר הגביע הקדוש ותעלומות אחרות של היקום; כל החומר זמין באופן חופשי וייתכן שתואר יותר מפעם אחת ב-Habré. (לא מצאתי, אודה על הקישור)

למי שקרא את האזהרות, בואו נתחיל.

מה זה DPI?

DPI או Deep Packet Inspection היא טכנולוגיה לצבירת נתונים סטטיסטיים, בדיקה וסינון מנות רשת על ידי ניתוח לא רק כותרות מנות, אלא גם תכולת התעבורה המלאה ברמות של מודל OSI מהשני ומעלה, המאפשרת לזהות ו לחסום וירוסים, לסנן מידע שאינו עומד בקריטריונים שצוינו.

ישנם שני סוגים של חיבור DPI, המתוארים ValdikSS ב-github:

DPI פסיבי

DPI מחובר לרשת הספק במקביל (לא בחתך) או באמצעות מפצל אופטי פסיבי, או באמצעות שיקוף של תעבורה שמקורה ממשתמשים. חיבור זה אינו מאט את מהירות הרשת של הספק במקרה של ביצועי DPI לא מספיקים, וזו הסיבה שהוא נמצא בשימוש על ידי ספקים גדולים. DPI עם סוג חיבור זה יכול מבחינה טכנית לזהות רק ניסיון לבקש תוכן אסור, אך לא לעצור אותו. כדי לעקוף את ההגבלה הזו ולחסום גישה לאתר אסור, DPI שולח למשתמש המבקש כתובת URL חסומה חבילת HTTP בעלת מבנה מיוחד עם הפניה מחדש לדף הסטאב של הספק, כאילו תגובה כזו נשלחה על ידי המשאב המבוקש עצמו (ה-IP של השולח כתובת ורצף TCP מזויפים). מכיוון שה-DPI קרוב יותר פיזית למשתמש מהאתר המבוקש, התגובה המזויפה מגיעה למכשיר המשתמש מהר יותר מהתגובה האמיתית מהאתר.

DPI פעיל

Active DPI - DPI מחובר לרשת של הספק בדרך הרגילה, כמו כל מכשיר רשת אחר. הספק מגדיר ניתוב כך ש-DPI מקבל תעבורה ממשתמשים לכתובות IP או דומיינים חסומים, ולאחר מכן DPI מחליט אם לאפשר או לחסום תעבורה. Active DPI יכול לבדוק תנועה יוצאת ונכנסת גם יחד, עם זאת, אם הספק משתמש ב-DPI רק כדי לחסום אתרים מהרישום, לרוב הוא מוגדר לבדוק תנועה יוצאת בלבד.

לא רק האפקטיביות של חסימת תעבורה, אלא גם העומס על DPI תלוי בסוג החיבור, כך שניתן לא לסרוק את כל התעבורה, אלא רק מסוימות:

DPI "רגיל".

DPI "רגיל" הוא DPI המסנן סוג מסוים של תעבורה רק על היציאות הנפוצות ביותר עבור סוג זה. לדוגמה, DPI "רגיל" מזהה וחוסם תעבורת HTTP אסורה רק ביציאה 80, תעבורת HTTPS ביציאה 443. סוג זה של DPI לא יעקוב אחר תוכן אסור אם תשלח בקשה עם כתובת URL חסומה ל-IP לא חסום או לא- יציאה סטנדרטית.

DPI "מלא".

שלא כמו DPI "רגיל", סוג זה של DPI מסווג תעבורה ללא קשר לכתובת IP וליציאה. בדרך זו, אתרים חסומים לא ייפתחו גם אם אתה משתמש בשרת פרוקסי ביציאה שונה לחלוטין ובכתובת IP לא חסומה.

שימוש ב-DPI

כדי לא להפחית את קצב העברת הנתונים, אתה צריך להשתמש ב-DPI פסיבי "רגיל", המאפשר לך ביעילות? לחסום כל? משאבים, תצורת ברירת המחדל נראית כך:

• מסנן HTTP רק ביציאה 80
• HTTPS רק ביציאה 443
• BitTorrent רק ביציאות 6881-6889

אבל הבעיות מתחילות אם המשאב ישתמש ביציאה אחרת כדי לא לאבד משתמשים, אז תצטרך לבדוק כל חבילה, לדוגמה תוכל לתת:

• HTTP עובד על יציאות 80 ו-8080
• HTTPS ביציאות 443 ו-8443
• ביטורנט בכל להקה אחרת

בשל כך, תצטרך לעבור ל-DPI "פעיל" או להשתמש בחסימה באמצעות שרת DNS נוסף.

חסימה באמצעות DNS

אחת הדרכים לחסום גישה למשאב היא ליירט את בקשת ה-DNS באמצעות שרת DNS מקומי ולהחזיר למשתמש כתובת IP "stub" במקום את המשאב הנדרש. אבל זה לא נותן תוצאה מובטחת, שכן אפשר למנוע זיוף כתובות:

אפשרות 1: עריכת קובץ המארחים (לשולחן העבודה)

קובץ המארחים הוא חלק בלתי נפרד מכל מערכת הפעלה, מה שמאפשר לך להשתמש בו תמיד. כדי לגשת למשאב, המשתמש חייב:

1. גלה את כתובת ה-IP של המשאב הנדרש
2. פתח את קובץ המארחים לעריכה (דרושות זכויות מנהל), הממוקם ב:
   • לינוקס: /etc/hosts
   • Windows: %WinDir%System32driversetchosts
3. הוסף שורה בפורמט: <שם משאב>
4. שמור שינויים

היתרון בשיטה זו הוא מורכבותה ודרישת זכויות המנהל.

אפשרות 2: DoH (DNS על HTTPS) או DoT (DNS על TLS)

שיטות אלו מאפשרות לך להגן על בקשת ה-DNS שלך מפני זיוף באמצעות הצפנה, אך היישום אינו נתמך על ידי כל היישומים. בואו נסתכל על הקלות של הגדרת DoH עבור Mozilla Firefox גרסה 66 מהצד של המשתמש:

1. עבור לכתובת about: config בפיירפוקס
2. אשר שהמשתמש לוקח על עצמו את כל הסיכון
3. שנה ערך פרמטר network.trr.mode on
   • 0 - השבת את TRR
   • 1 - בחירה אוטומטית
   • 2 - אפשר DoH כברירת מחדל
4. שנה פרמטר network.trr.uri בחירת שרת DNS
   • Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
   • DNS של גוגל: dns.google.com/experimental
5. שנה פרמטר network.trr.boostrapAddress on
   • אם Cloudflare DNS נבחר: 1.1.1.1
   • אם Google DNS נבחר: 8.8.8.8
6. שנה ערך פרמטר network.security.esni.enabled על נָכוֹן
7. בדוק שההגדרות נכונות באמצעות שירות Cloudflare

למרות ששיטה זו מורכבת יותר, היא אינה דורשת מהמשתמש זכויות מנהל, וישנן דרכים רבות אחרות לאבטח בקשת DNS שאינן מתוארות במאמר זה.

אפשרות 3 (עבור מכשירים ניידים):

שימוש באפליקציית Cloudflare כדי אנדרואיד и IOS.

בדיקה

כדי לבדוק את חוסר הגישה למשאבים, דומיין חסום בפדרציה הרוסית נרכש באופן זמני:

• בדיקת HTTP + יציאה 80
• בדיקת HTTP + יציאה 8080
• בדיקת HTTPS + יציאה 443
• בדיקת HTTPS + יציאה 8443

מסקנה

אני מקווה שמאמר זה יהיה שימושי ויעודד לא רק מנהלי מערכת להבין את הנושא ביתר פירוט, אלא גם ייתן הבנה כי משאבים תמיד יהיו בצד של המשתמש, והחיפוש אחר פתרונות חדשים צריך להיות חלק בלתי נפרד עבורו.

קישורים שימושיים

• הטמעת תקן SNI מוצפן בפיירפוקס
• מעקף DPI לא מקוון

תוספת מחוץ למאמרלא ניתן להשלים את בדיקת Cloudflare ברשת המפעילים של Tele2, ו-DPI מוגדר כהלכה חוסם את הגישה לאתר הבדיקה.
נ.ב. עד כה זהו הספק הראשון שחוסם משאבים בצורה נכונה.

מקור: www.habr.com