Iptables ແລະການກັ່ນຕອງການຈະລາຈອນຈາກ dissidents ທຸກຍາກແລະ lazy

ຄວາມກ່ຽວຂ້ອງຂອງການຂັດຂວາງການໄປຢ້ຽມຢາມຊັບພະຍາກອນທີ່ຕ້ອງຫ້າມສົ່ງຜົນກະທົບຕໍ່ຜູ້ບໍລິຫານທີ່ອາດຈະຖືກກ່າວຫາຢ່າງເປັນທາງການວ່າບໍ່ປະຕິບັດຕາມກົດຫມາຍຫຼືຄໍາສັ່ງຂອງເຈົ້າຫນ້າທີ່ທີ່ກ່ຽວຂ້ອງ.

ເປັນຫຍັງການປະດິດລໍ້ເມື່ອມີບັນດາໂຄງການພິເສດແລະການແຈກຢາຍສໍາລັບວຽກງານຂອງພວກເຮົາ, ຕົວຢ່າງ: Zeroshell, pfSense, ClearOS.

ຜູ້ຈັດການມີຄໍາຖາມອີກວ່າ: ຜະລິດຕະພັນທີ່ໃຊ້ມີໃບຢັ້ງຢືນຄວາມປອດໄພຈາກລັດຂອງພວກເຮົາບໍ?

ພວກເຮົາມີປະສົບການເຮັດວຽກກັບການແຈກຢາຍຕໍ່ໄປນີ້:

• Zeroshell - ນັກພັດທະນາເຖິງແມ່ນວ່າໄດ້ບໍລິຈາກໃບອະນຸຍາດ 2 ປີ, ແຕ່ມັນໄດ້ຫັນອອກວ່າຊຸດການແຈກຢາຍທີ່ພວກເຮົາສົນໃຈ, ບໍ່ສົມເຫດສົມຜົນ, ປະຕິບັດຫນ້າທີ່ທີ່ສໍາຄັນສໍາລັບພວກເຮົາ;
• pfSense - ຄວາມເຄົາລົບແລະກຽດຕິຍົດ, ໃນເວລາດຽວກັນທີ່ຫນ້າເບື່ອ, ນໍາໃຊ້ກັບເສັ້ນຄໍາສັ່ງຂອງ Firewall FreeBSD ແລະບໍ່ສະດວກພຽງພໍສໍາລັບພວກເຮົາ (ຂ້າພະເຈົ້າຄິດວ່າມັນເປັນເລື່ອງຂອງນິໄສ, ແຕ່ມັນໄດ້ກາຍເປັນວິທີການທີ່ບໍ່ຖືກຕ້ອງ);
• ClearOS - ໃນຮາດແວຂອງພວກເຮົາມັນໄດ້ກາຍເປັນຊ້າຫຼາຍ, ພວກເຮົາບໍ່ສາມາດໄດ້ຮັບການທົດສອບທີ່ຮຸນແຮງ, ດັ່ງນັ້ນເປັນຫຍັງການໂຕ້ຕອບທີ່ຫນັກແຫນ້ນດັ່ງກ່າວ?
• Ideco SELECTA. ຜະລິດຕະພັນ Ideco ແມ່ນການສົນທະນາແຍກຕ່າງຫາກ, ເປັນຜະລິດຕະພັນທີ່ຫນ້າສົນໃຈ, ແຕ່ສໍາລັບເຫດຜົນທາງດ້ານການເມືອງບໍ່ແມ່ນສໍາລັບພວກເຮົາ, ແລະຂ້າພະເຈົ້າຍັງຕ້ອງການ "ກັດ" ເຂົາເຈົ້າກ່ຽວກັບໃບອະນຸຍາດສໍາລັບ Linux, Roundcube, ແລະອື່ນໆ. ພວກເຂົາເຈົ້າໄດ້ຮັບຄວາມຄິດທີ່ໂດຍການຕັດການໂຕ້ຕອບເຂົ້າໄປໃນ Python ແລະໂດຍການຖອນສິດທິຜູ້ໃຊ້ superuser, ພວກເຂົາສາມາດຂາຍຜະລິດຕະພັນສໍາເລັດຮູບທີ່ປະກອບດ້ວຍໂມດູນທີ່ພັດທະນາແລະດັດແປງຈາກຊຸມຊົນອິນເຕີເນັດທີ່ແຈກຢາຍພາຍໃຕ້ GPL&etc.

ຂ້າພະເຈົ້າເຂົ້າໃຈວ່າໃນປັດຈຸບັນຄໍາອຸປະຖໍາທາງລົບຈະຖອກເທລົງໃນທິດທາງຂອງຂ້ອຍດ້ວຍຄວາມຮຽກຮ້ອງຕ້ອງການຢືນຢັນຄວາມຮູ້ສຶກຂອງຂ້ອຍໂດຍລະອຽດ, ແຕ່ຂ້ອຍຢາກເວົ້າວ່າ node ເຄືອຂ່າຍນີ້ຍັງເປັນຕົວດຸ່ນດ່ຽງການຈະລາຈອນສໍາລັບ 4 ຊ່ອງທາງພາຍນອກກັບອິນເຕີເນັດ, ແລະແຕ່ລະຊ່ອງທາງມີລັກສະນະຂອງຕົນເອງ. . ຈຸດສໍາຄັນອີກອັນຫນຶ່ງແມ່ນຄວາມຕ້ອງການສໍາລັບຫນຶ່ງໃນການໂຕ້ຕອບເຄືອຂ່າຍຈໍານວນຫນຶ່ງເພື່ອເຮັດວຽກຢູ່ໃນພື້ນທີ່ທີ່ຢູ່ທີ່ແຕກຕ່າງກັນ, ແລະຂ້າພະເຈົ້າ ກຽມພ້ອມ ຍອມຮັບວ່າ VLAN ສາມາດຖືກນໍາໃຊ້ຢູ່ທົ່ວທຸກແຫ່ງທີ່ມີຄວາມຈໍາເປັນແລະບໍ່ຈໍາເປັນ ບໍ່ພ້ອມ. ມີອຸປະກອນທີ່ໃຊ້ເຊັ່ນ TP-Link TL-R480T+ - ພວກມັນບໍ່ປະຕິບັດຕົວຢ່າງສົມບູນ, ໂດຍທົ່ວໄປ, ມີ nuances ຂອງຕົນເອງ. ມັນເປັນໄປໄດ້ທີ່ຈະກໍາຫນົດຄ່າສ່ວນນີ້ຢູ່ໃນ Linux ຂໍຂອບໃຈກັບເວັບໄຊທ໌ທາງການຂອງ Ubuntu ການດຸ່ນດ່ຽງ IP: ການລວມຊ່ອງທາງອິນເຕີເນັດຫຼາຍຊ່ອງເປັນອັນດຽວ. ຍິ່ງໄປກວ່ານັ້ນ, ແຕ່ລະຊ່ອງທາງສາມາດ "ຕົກລົງ" ໃນທຸກເວລາ, ເຊັ່ນດຽວກັນກັບການເພີ່ມຂຶ້ນ. ຖ້າທ່ານສົນໃຈສະຄິບທີ່ກໍາລັງເຮັດວຽກຢູ່ໃນປະຈຸບັນ (ແລະນີ້ແມ່ນມີມູນຄ່າການພິມແຍກຕ່າງຫາກ), ຂຽນໃນຄໍາເຫັນ.

ການແກ້ໄຂພາຍໃຕ້ການພິຈາລະນາບໍ່ໄດ້ອ້າງວ່າເປັນເອກະລັກ, ແຕ່ຂ້ອຍຢາກຖາມຄໍາຖາມ: "ເປັນຫຍັງວິສາຫະກິດຄວນປັບຕົວເຂົ້າກັບຜະລິດຕະພັນທີ່ຫນ້າສົງໄສຂອງພາກສ່ວນທີສາມທີ່ມີຄວາມຕ້ອງການຮາດແວທີ່ຮ້າຍແຮງເມື່ອທາງເລືອກອື່ນສາມາດພິຈາລະນາໄດ້?"

ຖ້າຢູ່ໃນສະຫະພັນລັດເຊຍມີບັນຊີລາຍຊື່ຂອງ Roskomnadzor, ໃນ Ukraine ມີເອກະສານຄັດຕິດກັບການຕັດສິນໃຈຂອງສະພາຄວາມຫມັ້ນຄົງແຫ່ງຊາດ (ຕົວຢ່າງ. ຈົ່ງເບິ່ງ,), ຫຼັງຈາກນັ້ນຜູ້ນໍາທ້ອງຖິ່ນບໍ່ໄດ້ນອນຄືກັນ. ຕົວຢ່າງ, ພວກເຮົາໄດ້ຮັບບັນຊີລາຍຊື່ຂອງສະຖານທີ່ຫ້າມທີ່, ໃນຄວາມຄິດເຫັນຂອງການຄຸ້ມຄອງ, ຜົນກະທົບຕໍ່ຜົນຜະລິດໃນບ່ອນເຮັດວຽກ.

ຕິດຕໍ່ສື່ສານກັບເພື່ອນຮ່ວມງານໃນວິສາຫະກິດອື່ນໆ, ໂດຍຄ່າເລີ່ມຕົ້ນທຸກສະຖານທີ່ຖືກຫ້າມແລະພຽງແຕ່ຕາມການຮ້ອງຂໍການອະນຸຍາດຂອງນາຍຈ້າງສາມາດເຂົ້າໄປໃນສະຖານທີ່ສະເພາະ, ຍິ້ມດ້ວຍຄວາມນັບຖື, ຄິດແລະ "ສູບຢາຫຼາຍກວ່າບັນຫາ", ພວກເຮົາເຂົ້າໃຈຊີວິດ. ແມ່ນຍັງດີແລະພວກເຮົາໄດ້ເລີ່ມຕົ້ນການຄົ້ນຫາຂອງພວກເຂົາ.

ມີໂອກາດບໍ່ພຽງແຕ່ວິເຄາະເບິ່ງສິ່ງທີ່ພວກເຂົາຂຽນໃນ "ປື້ມຂອງແມ່ບ້ານ" ກ່ຽວກັບການກັ່ນຕອງການຈະລາຈອນ, ແຕ່ຍັງເພື່ອເບິ່ງວ່າມີຫຍັງເກີດຂື້ນຢູ່ໃນຊ່ອງທາງຂອງຜູ້ໃຫ້ບໍລິການຕ່າງໆ, ພວກເຮົາສັງເກດເຫັນສູດຕໍ່ໄປນີ້ (ຫນ້າຈໍໃດໆແມ່ນຕັດເລັກນ້ອຍ, ກະລຸນາ. ເຂົ້າໃຈເມື່ອຖາມ):

ຜູ້ໃຫ້ບໍລິການ 1
— ບໍ່ລົບກວນ ແລະບັງຄັບໃຫ້ເຊີບເວີ DNS ຂອງຕົນເອງ ແລະເຊີບເວີພຣັອກຊີທີ່ໂປ່ງໃສ. ດີ?.. ແຕ່ພວກເຮົາສາມາດເຂົ້າເຖິງບ່ອນທີ່ພວກເຮົາຕ້ອງການ (ຖ້າພວກເຮົາຕ້ອງການມັນ :))

ຜູ້ໃຫ້ບໍລິການ 2
- ເຊື່ອວ່າຜູ້ໃຫ້ບໍລິການຊັ້ນນໍາຂອງລາວຄວນຄິດກ່ຽວກັບເລື່ອງນີ້, ການສະຫນັບສະຫນູນດ້ານວິຊາການຂອງຜູ້ໃຫ້ບໍລິການຊັ້ນສູງກໍ່ຍອມຮັບວ່າເປັນຫຍັງຂ້ອຍບໍ່ສາມາດເປີດເວັບໄຊທ໌ທີ່ຕ້ອງການ, ເຊິ່ງບໍ່ໄດ້ຖືກຫ້າມ. ຂ້ອຍຄິດວ່າຮູບຈະເຮັດໃຫ້ເຈົ້າມ່ວນ :)

ຍ້ອນວ່າມັນໄດ້ຫັນອອກ, ພວກເຂົາແປຊື່ຂອງສະຖານທີ່ຫ້າມເຂົ້າໄປໃນທີ່ຢູ່ IP ແລະຕັນ IP ຕົວຂອງມັນເອງ (ພວກເຂົາບໍ່ໄດ້ຮັບການລົບກວນໂດຍຄວາມຈິງທີ່ວ່າທີ່ຢູ່ IP ນີ້ສາມາດເປັນເຈົ້າພາບ 20 ສະຖານທີ່).

ຜູ້ໃຫ້ບໍລິການ 3
— ອະ​ນຸ​ຍາດ​ໃຫ້​ຈະ​ລາ​ຈອນ​ໄປ​ທີ່​ນັ້ນ​, ແຕ່​ບໍ່​ອະ​ນຸ​ຍາດ​ໃຫ້​ມັນ​ກັບ​ຄືນ​ໄປ​ບ່ອນ​ຕາມ​ເສັ້ນ​ທາງ​.

ຜູ້ໃຫ້ບໍລິການ 4
— ຫ້າມ​ການ​ຫມູນ​ໃຊ້​ທັງ​ຫມົດ​ທີ່​ມີ​ຊອງ​ໃນ​ທິດ​ທາງ​ທີ່​ກໍາ​ນົດ​ໄວ້​.

ຈະເຮັດແນວໃດກັບ VPN (ກ່ຽວກັບຕົວທ່ອງເວັບ Opera) ແລະ plugins ຂອງຕົວທ່ອງເວັບ? ຫຼີ້ນກັບ node Mikrotik ໃນຕອນທໍາອິດ, ພວກເຮົາກໍ່ໄດ້ຮັບສູດທີ່ມີຊັບພະຍາກອນຫຼາຍສໍາລັບ L7, ເຊິ່ງຕໍ່ມາພວກເຮົາຕ້ອງປະຖິ້ມ (ອາດຈະມີຊື່ທີ່ຫ້າມຫຼາຍ, ມັນຈະກາຍເປັນເລື່ອງທີ່ຫນ້າເສົ້າໃຈ, ນອກເຫນືອຈາກຄວາມຮັບຜິດຊອບໂດຍກົງສໍາລັບເສັ້ນທາງ, ໃນ 3 ອາຍແກັສ. ສະແດງອອກການໂຫຼດໂປເຊດເຊີ PPC460GT ໄປເຖິງ 100 %).

.

ສິ່ງທີ່ເຫັນໄດ້ຊັດເຈນ:
DNS ໃນ 127.0.0.1 ບໍ່ແມ່ນ panacea ຢ່າງແທ້ຈິງ; ສະບັບທີ່ທັນສະໄຫມຂອງຕົວທ່ອງເວັບຍັງອະນຸຍາດໃຫ້ທ່ານຜ່ານບັນຫາດັ່ງກ່າວ. ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະຈໍາກັດຜູ້ໃຊ້ທັງຫມົດໃນສິດທິທີ່ຫຼຸດລົງ, ແລະພວກເຮົາບໍ່ຄວນລືມກ່ຽວກັບຈໍານວນ DNS ທາງເລືອກອັນໃຫຍ່ຫຼວງ. ອິນເຕີເນັດບໍ່ຄົງທີ່, ແລະນອກເຫນືອຈາກທີ່ຢູ່ DNS ໃຫມ່, ສະຖານທີ່ຫ້າມຊື້ທີ່ຢູ່ໃຫມ່, ປ່ຽນໂດເມນລະດັບສູງສຸດ, ແລະສາມາດເພີ່ມ / ລົບຕົວອັກສອນໃນທີ່ຢູ່ຂອງພວກເຂົາ. ແຕ່ຍັງມີສິດທີ່ຈະດໍາລົງຊີວິດເຊັ່ນ:

ip route add blackhole 1.2.3.4

ມັນຈະມີປະສິດທິພາບດີທີ່ຈະໄດ້ຮັບບັນຊີລາຍຊື່ຂອງທີ່ຢູ່ IP ຈາກບັນຊີລາຍຊື່ຂອງສະຖານທີ່ຕ້ອງຫ້າມ, ແຕ່ສໍາລັບເຫດຜົນທີ່ໄດ້ກ່າວມາຂ້າງເທິງ, ພວກເຮົາໄດ້ກ້າວໄປສູ່ການພິຈາລະນາກ່ຽວກັບ Iptables. ມີຕົວດຸ່ນດ່ຽງສົດຢູ່ໃນການປ່ອຍ CentOS Linux 7.5.1804 ຢູ່ກ່ອນແລ້ວ.

ອິນເຕີເນັດຂອງຜູ້ໃຊ້ຄວນຈະໄວ, ແລະຕົວທ່ອງເວັບບໍ່ຄວນລໍຖ້າເຄິ່ງຫນຶ່ງນາທີ, ສະຫຼຸບວ່າຫນ້ານີ້ບໍ່ມີ. ຫຼັງ​ຈາກ​ການ​ຄົ້ນ​ຫາ​ທີ່​ຍາວ​ນານ​ພວກ​ເຮົາ​ໄດ້​ມາ​ກັບ​ຮູບ​ແບບ​ນີ້​:
ໄຟລ໌ 1 -> /script/denied_host, ບັນຊີລາຍຊື່ຂອງຊື່ຫ້າມ:

test.test
blablabla.bubu
torrent
porno

ໄຟລ໌ 2 -> /script/denied_range, ບັນຊີລາຍຊື່ຂອງສະຖານທີ່ແລະທີ່ຢູ່ຕ້ອງຫ້າມ:

192.168.111.0/24
241.242.0.0/16

ໄຟລ໌ສະຄຣິບ 3 -> ipt.shເຮັດວຽກກັບ ipables:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

ການນໍາໃຊ້ sudo ແມ່ນເນື່ອງມາຈາກຄວາມຈິງທີ່ວ່າພວກເຮົາມີການ hack ຂະຫນາດນ້ອຍສໍາລັບການຄຸ້ມຄອງໂດຍຜ່ານການໂຕ້ຕອບຂອງ WEB, ແຕ່ວ່າປະສົບການໃນການນໍາໃຊ້ຮູບແບບດັ່ງກ່າວສໍາລັບຫຼາຍກວ່າຫນຶ່ງປີໄດ້ສະແດງໃຫ້ເຫັນ, WEB ແມ່ນບໍ່ຈໍາເປັນດັ່ງນັ້ນ. ຫຼັງຈາກການປະຕິບັດ, ມີຄວາມຕ້ອງການທີ່ຈະເພີ່ມບັນຊີລາຍຊື່ຂອງສະຖານທີ່ໃນຖານຂໍ້ມູນ, ແລະອື່ນໆ. ຈໍານວນເຈົ້າພາບທີ່ຖືກບລັອກແມ່ນຫຼາຍກວ່າ 250 + ຊ່ອງທີ່ຢູ່ຫຼາຍສິບບ່ອນ. ມີບັນຫາແທ້ໆເມື່ອໄປຫາເວັບໄຊທ໌ຜ່ານການເຊື່ອມຕໍ່ https, ຄືກັບຜູ້ເບິ່ງແຍງລະບົບ, ຂ້ອຍມີການຮ້ອງທຸກກ່ຽວກັບຕົວທ່ອງເວັບ :), ແຕ່ເຫຼົ່ານີ້ແມ່ນກໍລະນີພິເສດ, ສ່ວນໃຫຍ່ຂອງຜົນກະທົບຕໍ່ການຂາດການເຂົ້າເຖິງຊັບພະຍາກອນແມ່ນຍັງຢູ່ຂ້າງພວກເຮົາ. , ພວກເຮົາຍັງປິດກັ້ນ Opera VPN ແລະ plugins ເຊັ່ນ friGate ແລະ telemetry ຈາກ Microsoft ຢ່າງສໍາເລັດຜົນ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com