DPI 설정의 기능

이 글은 전체 DPI 조정과 서로 연결된 모든 것을 다루지 않으며, 텍스트의 과학적 가치는 미미합니다. 그러나 이는 많은 회사가 고려하지 않은 DPI를 우회하는 가장 간단한 방법을 설명합니다.

면책 조항 #1: 이 기사는 연구 성격을 띠고 있으며 누구에게도 어떤 행위나 사용을 권장하지 않습니다. 이 아이디어는 개인적인 경험을 기반으로 하며 유사점은 무작위입니다.

경고 2번: 이 기사는 아틀란티스의 비밀, 성배 탐색 및 기타 우주의 신비를 밝히지 않습니다. 모든 자료는 무료로 이용 가능하며 Habré에서 두 번 이상 설명되었을 수 있습니다. (못찾았는데 링크 알려주시면 감사하겠습니다)

경고를 읽으신 분들을 위해 시작하겠습니다.

DPI란 무엇입니까?

DPI(Deep Packet Inspection)는 패킷 헤더뿐만 아니라 OSI 모델 XNUMX차 이상 레벨의 트래픽 전체 내용을 분석하여 통계 데이터를 축적하고, 네트워크 패킷을 검사 및 필터링하는 기술입니다. 바이러스를 차단하고, 지정된 기준에 맞지 않는 정보를 필터링합니다.

DPI 연결에는 두 가지 유형이 있습니다. ValdikSS 깃허브에서:

패시브 DPI

DPI는 패시브 광 분배기를 통해 또는 사용자로부터 발생하는 트래픽의 미러링을 사용하여 병렬로(컷이 아닌) 공급자 네트워크에 연결됩니다. 이 연결은 DPI 성능이 부족한 경우 공급자의 네트워크 속도를 저하시키지 않으므로 대규모 공급자가 사용합니다. 이 연결 유형을 사용하는 DPI는 기술적으로 금지된 콘텐츠를 요청하려는 시도만 감지할 수 있지만 중지할 수는 없습니다. 이 제한을 우회하고 금지된 사이트에 대한 액세스를 차단하기 위해 DPI는 차단된 URL을 요청하는 사용자에게 공급자의 스텁 페이지로 리디렉션되는 특수 제작된 HTTP 패킷을 보냅니다. 마치 요청된 리소스 자체(발신자의 IP)에서 응답을 보낸 것처럼 보입니다. 주소와 TCP 시퀀스가 ​​위조되었습니다). DPI는 요청된 사이트보다 사용자에게 물리적으로 더 가깝기 때문에 스푸핑된 응답은 사이트의 실제 응답보다 더 빨리 사용자의 장치에 도달합니다.

활성 DPI

활성 DPI - 다른 네트워크 장치와 마찬가지로 일반적인 방식으로 공급자의 네트워크에 연결된 DPI입니다. 공급자는 DPI가 사용자로부터 차단된 IP 주소 또는 도메인으로 향하는 트래픽을 수신하도록 라우팅을 구성하고 DPI는 트래픽을 허용할지 또는 차단할지 여부를 결정합니다. 활성 DPI는 나가는 트래픽과 들어오는 트래픽을 모두 검사할 수 있지만, 공급자가 DPI를 사용하여 레지스트리에서 사이트를 차단하는 경우에는 나가는 트래픽만 검사하도록 구성되는 경우가 가장 많습니다.

트래픽 차단의 효율성뿐만 아니라 DPI의 로드도 연결 유형에 따라 달라지므로 모든 트래픽을 검사하지 않고 특정 트래픽만 검사하는 것이 가능합니다.

"일반" DPI

"일반" DPI는 특정 유형의 가장 일반적인 포트에서만 특정 유형의 트래픽을 필터링하는 DPI입니다. 예를 들어, "일반" DPI는 금지된 HTTP 트래픽은 포트 80에서만, HTTPS 트래픽은 포트 443에서만 감지하고 차단합니다. 이 유형의 DPI는 차단된 URL이 포함된 요청을 차단되지 않은 IP 또는 비-IP로 보내는 경우 금지된 콘텐츠를 추적하지 않습니다. 표준 포트.

"전체" DPI

"일반" DPI와 달리 이 유형의 DPI는 IP 주소 및 포트에 관계없이 트래픽을 분류합니다. 이렇게 하면 완전히 다른 포트와 차단되지 않은 IP 주소에서 프록시 서버를 사용하더라도 차단된 사이트가 열리지 않습니다.

DPI 사용

데이터 전송 속도를 줄이지 않으려면 "일반" 패시브 DPI를 사용해야 합니다. 이를 통해 효과적으로 작업을 수행할 수 있습니다. 차단해? 리소스의 기본 구성은 다음과 같습니다.

• 포트 80에서만 HTTP 필터
• 포트 443에서만 HTTPS
• 포트 6881-6889에서만 BitTorrent

하지만 다음과 같은 경우 문제가 시작됩니다. 리소스는 사용자를 잃지 않도록 다른 포트를 사용합니다., 그러면 각 패키지를 확인해야 합니다. 예를 들어 다음을 제공할 수 있습니다.

• HTTP는 포트 80 및 8080에서 작동합니다.
• 포트 443 및 8443의 HTTPS
• 다른 밴드의 BitTorrent

이 때문에 "활성" DPI로 전환하거나 추가 DNS 서버를 사용하여 차단을 사용해야 합니다.

DNS를 이용한 차단

리소스에 대한 액세스를 차단하는 한 가지 방법은 로컬 DNS 서버를 사용하여 DNS 요청을 가로채고 사용자에게 필요한 리소스가 아닌 "스텁" IP 주소를 반환하는 것입니다. 그러나 주소 스푸핑을 방지할 수 있으므로 결과가 보장되지는 않습니다.

옵션 1: 호스트 파일 편집(데스크톱용)

호스트 파일은 모든 운영 체제의 필수 부분이므로 항상 사용할 수 있습니다. 리소스에 액세스하려면 사용자는 다음을 수행해야 합니다.

1. 필요한 리소스의 IP 주소를 알아보세요
2. 편집을 위해 다음 위치에 있는 호스트 파일을 엽니다(관리자 권한 필요).
   • 리눅스: /etc/hosts
   • 윈도우: %WinDir%System32driversethosts
3. 다음 형식으로 줄을 추가합니다. <리소스 이름>
4. 변경 사항을 저장하다

이 방법의 장점은 복잡성과 관리자 권한이 필요하다는 것입니다.

옵션 2: DoH(HTTPS를 통한 DNS) 또는 DoT(TLS를 통한 DNS)

이러한 방법을 사용하면 암호화를 사용하여 스푸핑으로부터 DNS 요청을 보호할 수 있지만 일부 애플리케이션에서는 구현이 지원되지 않습니다. 사용자 측에서 Mozilla Firefox 버전 66에 대한 DoH 설정의 용이성을 살펴보겠습니다.

1. 주소로 이동 정보 : 설정 파이어폭스에서
2. 사용자가 모든 위험을 감수하는지 확인
3. 매개변수 값 변경 네트워크.trr.모드 on :
   • 0 - TRR 비활성화
   • 1 - 자동 선택
   • 2 - 기본적으로 DoH 활성화
4. 매개변수 변경 네트워크.trr.uri DNS 서버 선택
   • 클라우드플레어 DNS: mozilla.cloudflare-dns.com/dns-query
   • Google DNS : dns.google.com/experimental
5. 매개변수 변경 network.trr.boostrap주소 on :
   • Cloudflare DNS를 선택한 경우: 1.1.1.1
   • Google DNS를 선택한 경우: 8.8.8.8
6. 매개변수 값 변경 네트워크.보안.esni.활성화 에 참된
7. 다음을 사용하여 설정이 올바른지 확인하십시오. Cloudflare 서비스

이 방법은 더 복잡하지만 사용자에게 관리자 권한이 필요하지 않으며 이 문서에 설명되지 않은 DNS 요청을 보호하는 다른 방법이 많이 있습니다.

옵션 3(모바일 장치용):

Cloudflare 앱을 사용하여 Android и IOS.

테스트

리소스에 대한 액세스 부족을 확인하기 위해 러시아 연방에서 차단된 도메인을 일시적으로 구매했습니다.

• HTTP 확인 + 포트 80
• HTTP 확인 + 포트 8080
• HTTPS 확인 + 포트 443
• HTTPS 확인 + 포트 8443

결론

이 문서가 도움이 되기를 바라며 관리자가 해당 주제를 더 자세히 이해할 수 있도록 독려할 뿐만 아니라 리소스는 항상 사용자 편에 있으며 새로운 솔루션을 찾는 것은 사용자에게 필수적인 부분이어야 합니다.

유용한 링크

• Firefox에서 암호화된 SNI 표준 구현
• 오프라인 DPI 우회

기사 외 추가Cloudflare 테스트는 Tele2 운영자 네트워크에서 완료할 수 없으며 올바르게 구성된 DPI는 테스트 사이트에 대한 액세스를 차단합니다.
PS 지금까지 이것은 리소스를 올바르게 차단하는 최초의 공급자입니다.

출처 : habr.com