ຫົວຂໍ້ຖືກຕີຫຼາຍ, ຂ້ອຍຮູ້. ຕົວຢ່າງ, ມີອັນຍິ່ງໃຫຍ່ ບົດຄວາມ, ແຕ່ວ່າພຽງແຕ່ສ່ວນ IP ຂອງບັນຊີລາຍການຖືກພິຈາລະນາຢູ່ທີ່ນັ້ນ. ພວກເຮົາຍັງຈະເພີ່ມໂດເມນ.

ເນື່ອງຈາກຄວາມຈິງທີ່ວ່າສານປະຊາຊົນແລະ RKN ຂັດຂວາງທຸກສິ່ງທຸກຢ່າງຂວາແລະຊ້າຍ, ແລະຜູ້ໃຫ້ບໍລິການກໍາລັງພະຍາຍາມຢ່າງຫນັກທີ່ຈະບໍ່ຕົກຢູ່ພາຍໃຕ້ການປັບໄຫມທີ່ອອກໂດຍ Revizorro, ການສູນເສຍທີ່ກ່ຽວຂ້ອງຈາກການຂັດຂວາງແມ່ນຂ້ອນຂ້າງໃຫຍ່. ແລະໃນບັນດາເວັບໄຊທ໌ທີ່ຖືກບລັອກ "ຕາມກົດຫມາຍ" ມີຫຼາຍອັນທີ່ເປັນປະໂຫຍດ (ສະບາຍດີ, rutracker)

ຂ້າ​ພະ​ເຈົ້າ​ອາ​ໃສ​ຢູ່​ນອກ​ສິດ​ອໍາ​ນາດ​ຂອງ RKN, ແຕ່​ພໍ່​ແມ່, ພີ່​ນ້ອງ​ແລະ​ຫມູ່​ເພື່ອນ​ຂອງ​ຂ້າ​ພະ​ເຈົ້າ​ຍັງ​ຄົງ​ຢູ່​ທີ່​ເຮືອນ. ດັ່ງນັ້ນ, ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະມາກັບວິທີທີ່ງ່າຍສໍາລັບຜູ້ທີ່ຢູ່ໄກຈາກ IT ເພື່ອຫລີກລ່ຽງການຂັດຂວາງ, ດີກວ່າໂດຍບໍ່ມີການເຂົ້າຮ່ວມຂອງພວກເຂົາທັງຫມົດ.

ໃນບັນທຶກນີ້, ຂ້າພະເຈົ້າຈະບໍ່ໄດ້ອະທິບາຍສິ່ງທີ່ເຄືອຂ່າຍພື້ນຖານໃນຂັ້ນຕອນ, ແຕ່ຂ້າພະເຈົ້າຈະອະທິບາຍຫຼັກການທົ່ວໄປຂອງວິທີການໂຄງການນີ້ສາມາດໄດ້ຮັບການປະຕິບັດ. ດັ່ງນັ້ນຄວາມຮູ້ກ່ຽວກັບວິທີການເຄືອຂ່າຍເຮັດວຽກໂດຍທົ່ວໄປແລະໃນ Linux ໂດຍສະເພາະແມ່ນຕ້ອງມີ.

ປະເພດຂອງ locks

ທໍາອິດ, ໃຫ້ພວກເຮົາປັບປຸງຄວາມຊົງຈໍາຂອງພວກເຮົາກ່ຽວກັບສິ່ງທີ່ຖືກສະກັດ.

ມີຫຼາຍປະເພດຂອງການລັອກຢູ່ໃນ XML ທີ່ບໍ່ໄດ້ໂຫລດຈາກ RKN:

• IP
• ເພີ່ມເຕີມ
• URL

ສໍາລັບຄວາມງ່າຍດາຍ, ພວກເຮົາຈະຫຼຸດລົງພວກເຂົາເປັນສອງ: IP ແລະໂດເມນ, ແລະພວກເຮົາພຽງແຕ່ຈະດຶງໂດເມນອອກຈາກການຂັດຂວາງໂດຍ URL (ຫຼາຍທີ່ຊັດເຈນ, ພວກເຂົາເຈົ້າໄດ້ເຮັດແລ້ວສໍາລັບພວກເຮົາ).

ຄົນດີຈາກ Roskomsvoboda ໄດ້ຮັບຮູ້ສິ່ງມະຫັດ API, ໂດຍຜ່ານການທີ່ພວກເຮົາສາມາດໄດ້ຮັບສິ່ງທີ່ພວກເຮົາຕ້ອງການ:

• IP: https://api.reserve-rbl.ru/api/v2/ips/json
• ໂດເມນ: https://api.reserve-rbl.ru/api/v2/domains/json

ການເຂົ້າເຖິງເວັບໄຊທ໌ທີ່ຖືກບລັອກ

ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຕ້ອງການ VPS ຕ່າງປະເທດຂະຫນາດນ້ອຍ, ມັກຈະມີການຈະລາຈອນບໍ່ຈໍາກັດ - ມີຫຼາຍສິ່ງເຫຼົ່ານີ້ສໍາລັບ 3-5 bucks. ທ່ານຈໍາເປັນຕ້ອງເອົາມັນຢູ່ໃນຕ່າງປະເທດຢູ່ໃກ້ໆເພື່ອວ່າ ping ແມ່ນບໍ່ໃຫຍ່ຫຼາຍ, ແຕ່ອີກເທື່ອຫນຶ່ງ, ຄໍານຶງເຖິງວ່າອິນເຕີເນັດແລະພູມສາດບໍ່ກົງກັນສະເຫມີ. ແລະເນື່ອງຈາກວ່າບໍ່ມີ SLA ສໍາລັບ 5 bucks, ມັນດີກວ່າທີ່ຈະເອົາ 2+ ຊິ້ນຈາກຜູ້ໃຫ້ບໍລິການທີ່ແຕກຕ່າງກັນເພື່ອຄວາມທົນທານຕໍ່ຄວາມຜິດພາດ.

ຕໍ່ໄປ, ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ຕັ້ງອຸໂມງເຂົ້າລະຫັດຈາກ router ລູກຂ່າຍໄປຫາ VPS. ຂ້ອຍໃຊ້ Wireguard ເປັນໄວທີ່ສຸດ ແລະງ່າຍທີ່ສຸດໃນການຕັ້ງຄ່າ. ຂ້ອຍຍັງມີ router ລູກຄ້າໂດຍອີງໃສ່ Linux (APU2 ຫຼືບາງສິ່ງບາງຢ່າງໃນ OpenWRT). ໃນກໍລະນີຂອງບາງ Mikrotik / Cisco, ທ່ານສາມາດນໍາໃຊ້ໂປໂຕຄອນທີ່ມີຢູ່ໃນພວກມັນເຊັ່ນ OpenVPN ແລະ GRE-over-IPSEC.

ການກໍານົດແລະການປ່ຽນເສັ້ນທາງຂອງການຈະລາຈອນທີ່ມີຄວາມສົນໃຈ

ທ່ານສາມາດ, ແນ່ນອນ, ປິດການຈະລາຈອນທາງອິນເຕີເນັດທັງຫມົດໂດຍຜ່ານຕ່າງປະເທດ. ແຕ່, ສ່ວນຫຼາຍອາດຈະ, ຄວາມໄວຂອງການເຮັດວຽກກັບເນື້ອຫາທ້ອງຖິ່ນຈະທົນທຸກຈາກນີ້. ນອກຈາກນັ້ນ, ຄວາມຕ້ອງການແບນວິດໃນ VPS ຈະສູງກວ່າຫຼາຍ.

ດັ່ງນັ້ນ, ພວກເຮົາຈະຈໍາເປັນຕ້ອງໄດ້ຈັດສັນການຈະລາຈອນໃຫ້ກັບສະຖານທີ່ທີ່ຖືກບລັອກແລະເລືອກທິດທາງມັນໄປຫາອຸໂມງ. ເຖິງແມ່ນວ່າການຈາລະຈອນ "ພິເສດ" ບາງຢ່າງມາຮອດ, ມັນຍັງດີກ່ວາການຂັບລົດທຸກສິ່ງທຸກຢ່າງຜ່ານອຸໂມງ.

ເພື່ອຈັດການການຈະລາຈອນ, ພວກເຮົາຈະໃຊ້ໂປໂຕຄອນ BGP ແລະປະກາດເສັ້ນທາງໄປສູ່ເຄືອຂ່າຍທີ່ຈໍາເປັນຈາກ VPS ຂອງພວກເຮົາໃຫ້ກັບລູກຄ້າ. ໃຫ້ຖື BIRD ເປັນຫນຶ່ງໃນ daemons BGP ທີ່ເປັນປະໂຫຍດແລະສະດວກທີ່ສຸດ.

IP

ດ້ວຍການບລັອກໂດຍ IP, ທຸກສິ່ງທຸກຢ່າງຈະແຈ້ງ: ພວກເຮົາພຽງແຕ່ປະກາດ IP ທີ່ຖືກບລັອກທັງຫມົດດ້ວຍ VPS. ບັນຫາແມ່ນວ່າມີປະມານ 600 ພັນ subnets ໃນບັນຊີລາຍຊື່ທີ່ API ກັບຄືນມາ, ແລະສ່ວນໃຫຍ່ຂອງພວກມັນແມ່ນ /32 hosts. ຈໍານວນເສັ້ນທາງນີ້ສາມາດສັບສົນ router ລູກຄ້າທີ່ອ່ອນແອ.

ດັ່ງນັ້ນ, ໃນເວລາທີ່ການປຸງແຕ່ງບັນຊີລາຍຊື່, ມັນໄດ້ຖືກຕັດສິນໃຈສະຫຼຸບເຖິງເຄືອຂ່າຍ / 24 ຖ້າມັນມີ 2 ຫຼືຫຼາຍກວ່າເຈົ້າພາບ. ດັ່ງນັ້ນ, ຈໍານວນເສັ້ນທາງໄດ້ຖືກຫຼຸດລົງເຖິງ ~ 100 ພັນຄົນ. script ສໍາລັບການນີ້ຈະປະຕິບັດຕາມ.

ໂດເມນ

ມັນສັບສົນຫຼາຍແລະມີຫຼາຍວິທີ. ຕົວຢ່າງ, ທ່ານສາມາດຕິດຕັ້ງ Squid ໂປ່ງໃສຢູ່ໃນແຕ່ລະ router ລູກຄ້າແລະເຮັດ HTTP interception ຢູ່ທີ່ນັ້ນແລະເຂົ້າໄປໃນການຈັບມື TLS ເພື່ອໃຫ້ໄດ້ຮັບ URL ທີ່ຮ້ອງຂໍໃນກໍລະນີທໍາອິດແລະໂດເມນຈາກ SNI ໃນທີສອງ.

ແຕ່ເນື່ອງຈາກທຸກປະເພດຂອງ TLS1.3 + eSNI newfangled, ການວິເຄາະ HTTPS ກາຍເປັນຈິງຫນ້ອຍລົງທຸກໆມື້. ແມ່ນແລ້ວ, ແລະໂຄງສ້າງພື້ນຖານໃນຝ່າຍລູກຄ້າແມ່ນສັບສົນຫຼາຍ - ທ່ານຈະຕ້ອງໃຊ້ OpenWRT ຢ່າງຫນ້ອຍ.

ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈເອົາເສັ້ນທາງຂອງການຂັດຂວາງການຕອບຄໍາຖາມ DNS. ທີ່ນີ້, ເຊັ່ນດຽວກັນ, DNS-over-TLS / HTTPS ໃດໆເລີ່ມຕົ້ນທີ່ຈະເລື່ອນຢູ່ເທິງຫົວຂອງທ່ານ, ແຕ່ພວກເຮົາສາມາດ (ສໍາລັບໃນປັດຈຸບັນ) ຄວບຄຸມສ່ວນນີ້ໃນລູກຄ້າ - ບໍ່ວ່າຈະປິດມັນຫຼືໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງທ່ານເອງສໍາລັບ DoT / DoH.

ວິທີການຂັດຂວາງ DNS?

ທີ່ນີ້, ເຊັ່ນດຽວກັນ, ອາດຈະມີວິທີການຈໍານວນຫນຶ່ງ.

• ການຂັດຂວາງການຈະລາຈອນ DNS ຜ່ານ PCAP ຫຼື NFLOG
  ທັງສອງວິທີການເຫຼົ່ານີ້ຂອງການຂັດຂວາງໄດ້ຖືກປະຕິບັດຢູ່ໃນຜົນປະໂຫຍດ sidmat. ແຕ່ມັນບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນສໍາລັບເວລາດົນນານແລະການທໍາງານແມ່ນ primitive ຫຼາຍ, ດັ່ງນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງໄດ້ຂຽນ harness ສໍາລັບມັນ.
• ການວິເຄາະບັນທຶກ DNS server
  ແຕ່ຫນ້າເສຍດາຍ, recursors ທີ່ຮູ້ຈັກກັບຂ້ອຍແມ່ນບໍ່ສາມາດບັນທຶກຄໍາຕອບ, ແຕ່ວ່າພຽງແຕ່ການຮ້ອງຂໍ. ໃນຫຼັກການ, ນີ້ແມ່ນເຫດຜົນ, ເພາະວ່າ, ບໍ່ຄືກັບຄໍາຮ້ອງຂໍ, ຄໍາຕອບມີໂຄງສ້າງທີ່ສັບສົນແລະມັນຍາກທີ່ຈະຂຽນພວກມັນໃນຮູບແບບຂໍ້ຄວາມ.
• DNSTap
  ໂຊກດີ, ຫຼາຍຄົນຂອງພວກເຂົາສະຫນັບສະຫນູນ DNSTap ສໍາລັບຈຸດປະສົງນີ້.

DNSTap ແມ່ນຫຍັງ?

ມັນເປັນໂປໂຕຄອນເຊີບເວີລູກຄ້າໂດຍອີງໃສ່ Protocol Buffers ແລະ Frame Stream ສໍາລັບການໂອນຈາກເຄື່ອງແມ່ຂ່າຍ DNS ໄປຫາຜູ້ລວບລວມການສອບຖາມແລະການຕອບສະຫນອງ DNS ທີ່ມີໂຄງສ້າງ. ໂດຍພື້ນຖານແລ້ວ, ເຄື່ອງແມ່ຂ່າຍ DNS ສົ່ງການສອບຖາມແລະການຕອບໂຕ້ metadata (ປະເພດຂອງຂໍ້ຄວາມ, client / server IP, ແລະອື່ນໆ) ບວກກັບຂໍ້ຄວາມ DNS ທີ່ສົມບູນໃນຮູບແບບ (binary) ທີ່ມັນເຮັດວຽກກັບພວກເຂົາຜ່ານເຄືອຂ່າຍ.

ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະເຂົ້າໃຈວ່າໃນແບບ DNSTap, ເຄື່ອງແມ່ຂ່າຍ DNS ເຮັດຫນ້າທີ່ເປັນລູກຄ້າແລະຕົວເກັບລວບລວມເຮັດຫນ້າທີ່ເປັນເຄື່ອງແມ່ຂ່າຍ. ນັ້ນແມ່ນ, ເຄື່ອງແມ່ຂ່າຍ DNS ເຊື່ອມຕໍ່ກັບຕົວເກັບ, ແລະບໍ່ແມ່ນໃນທາງກັບກັນ.

ມື້ນີ້ DNSTap ໄດ້ຮັບການສະຫນັບສະຫນູນໃນເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ນິຍົມທັງຫມົດ. ແຕ່, ສໍາລັບການຍົກຕົວຢ່າງ, BIND ໃນຫຼາຍໆການແຈກຢາຍ (ເຊັ່ນ Ubuntu LTS) ມັກຈະຖືກສ້າງຂຶ້ນດ້ວຍເຫດຜົນບາງຢ່າງໂດຍບໍ່ມີການສະຫນັບສະຫນູນຂອງມັນ. ສະນັ້ນໃຫ້ເຮົາບໍ່ເບື່ອກັບ reassembly, ແຕ່ເອົາ recursor ສີມ້ານແລະໄວຂຶ້ນ - Unbound.

ວິທີການຈັບ DNSTap?

ມີ ບາງ ປະລິມານ ຜົນປະໂຫຍດ CLI ສໍາລັບການເຮັດວຽກກັບກະແສຂອງເຫດການ DNSTap, ແຕ່ພວກມັນບໍ່ເຫມາະສົມສໍາລັບການແກ້ໄຂບັນຫາຂອງພວກເຮົາ. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈທີ່ຈະປະດິດລົດຖີບຂອງຕົນເອງທີ່ຈະເຮັດທຸກສິ່ງທຸກຢ່າງທີ່ຈໍາເປັນ: dnstap-bgp

ຂັ້ນຕອນການເຮັດວຽກ:

• ເມື່ອເປີດຕົວ, ມັນໂຫລດລາຍຊື່ໂດເມນຈາກໄຟລ໌ຂໍ້ຄວາມ, ປ່ຽນພວກມັນ (habr.com -> com.habr), ບໍ່ລວມເອົາເສັ້ນທີ່ແຕກຫັກ, ຊໍ້າກັນແລະໂດເມນຍ່ອຍ (i.e. ຖ້າລາຍຊື່ມີ habr.com ແລະ www.habr.com, ມັນຈະຖືກໂຫລດພຽງແຕ່ອັນທໍາອິດ) ແລະສ້າງຕົ້ນໄມ້ຄໍານໍາຫນ້າສໍາລັບການຊອກຫາໄວໂດຍຜ່ານບັນຊີລາຍຊື່ນີ້
• ເຮັດຫນ້າທີ່ເປັນເຄື່ອງແມ່ຂ່າຍ DNSTap, ມັນລໍຖ້າການເຊື່ອມຕໍ່ຈາກເຄື່ອງແມ່ຂ່າຍ DNS. ໃນຫຼັກການ, ມັນສະຫນັບສະຫນູນທັງຊັອກເກັດ UNIX ແລະ TCP, ແຕ່ເຄື່ອງແມ່ຂ່າຍ DNS ທີ່ຂ້ອຍຮູ້ສາມາດໃຊ້ຊັອກເກັດ UNIX ເທົ່ານັ້ນ.
• ແພັກເກັດ DNSTap ຂາເຂົ້າແມ່ນຖືກແຍກອອກເປັນໂຄງສ້າງ Protobuf ທໍາອິດ, ແລະຫຼັງຈາກນັ້ນຂໍ້ຄວາມ DNS binary ຕົວຂອງມັນເອງ, ທີ່ຕັ້ງຢູ່ໃນຫນຶ່ງໃນຊ່ອງຂໍ້ມູນ Protobuf, ຖືກແຍກອອກເປັນລະດັບຂອງບັນທຶກ DNS RR.
• ມັນຖືກກວດເບິ່ງວ່າໂຮດທີ່ຮ້ອງຂໍ (ຫຼືໂດເມນແມ່ຂອງມັນ) ຢູ່ໃນບັນຊີລາຍຊື່ທີ່ໂຫລດ, ຖ້າບໍ່ແມ່ນ, ຄໍາຕອບຈະຖືກລະເລີຍ.
• ພຽງແຕ່ເລືອກ A/AAAA/CNAME RRs ຈາກການຕອບໂຕ້ ແລະທີ່ຢູ່ IPv4/IPv6 ທີ່ສອດຄ້ອງກັນຖືກແຍກອອກຈາກພວກມັນ.
• ທີ່ຢູ່ IP ແມ່ນຖືກເກັບໄວ້ດ້ວຍ TTL ທີ່ສາມາດຕັ້ງຄ່າໄດ້ ແລະຖືກໂຄສະນາໃຫ້ກັບເພື່ອນຮ່ວມ BGP ທີ່ຖືກຕັ້ງຄ່າທັງໝົດ.
• ເມື່ອໄດ້ຮັບການຕອບສະຫນອງທີ່ຊີ້ໄປຫາ IP ທີ່ເກັບໄວ້ແລ້ວ, TTL ຂອງມັນຈະຖືກປັບປຸງ
• ຫຼັງຈາກ TTL ໝົດອາຍຸ, ການເຂົ້າຈະຖືກເອົາອອກຈາກແຄດແລະຈາກການປະກາດ BGP

ຟັງຊັນເພີ່ມເຕີມ:

• ການອ່ານລາຍຊື່ໂດເມນຄືນໃໝ່ໂດຍ SIGHUP
• ຮັກສາ cache ໃນ sync ກັບຕົວຢ່າງອື່ນໆ dnstap-bgp ຜ່ານ HTTP/JSON
• ສຳເນົາແຄຊ໌ຢູ່ໃນແຜ່ນ (ໃນຖານຂໍ້ມູນ BoltDB) ເພື່ອຟື້ນຟູເນື້ອໃນຂອງມັນຫຼັງຈາກຣີສະຕາດ
• ສະ​ຫນັບ​ສະ​ຫນູນ​ສໍາ​ລັບ​ການ​ສະ​ຫຼັບ​ກັບ namespace ເຄືອ​ຂ່າຍ​ທີ່​ແຕກ​ຕ່າງ​ກັນ (ເປັນ​ຫຍັງ​ນີ້​ແມ່ນ​ຈໍາ​ເປັນ​ຈະ​ໄດ້​ຮັບ​ການ​ອະ​ທິ​ບາຍ​ຂ້າງ​ລຸ່ມ​ນີ້​)
• ຮອງຮັບ IPv6

ຂໍ້ ຈຳ ກັດ:

• ໂດເມນ IDN ຍັງບໍ່ຮອງຮັບເທື່ອ
• ການຕັ້ງຄ່າ BGP ຈໍານວນຫນ້ອຍ

ຂ້າພະເຈົ້າໄດ້ເກັບກໍາ RPM ແລະ DEB ການຫຸ້ມຫໍ່ສໍາລັບການຕິດຕັ້ງງ່າຍ. ຄວນເຮັດວຽກຢູ່ໃນທຸກ OS ທີ່ຜ່ານມາຂ້ອນຂ້າງກັບ systemd. ພວກເຂົາບໍ່ມີການເພິ່ງພາອາໄສໃດໆ.

ໂຄງການ

ດັ່ງນັ້ນ, ໃຫ້ເລີ່ມຕົ້ນປະກອບອົງປະກອບທັງຫມົດຮ່ວມກັນ. ດັ່ງນັ້ນ, ພວກເຮົາຄວນຈະໄດ້ຮັບບາງສິ່ງບາງຢ່າງເຊັ່ນ: topology ເຄືອຂ່າຍນີ້:

ເຫດຜົນຂອງການເຮັດວຽກ, ຂ້າພະເຈົ້າຄິດວ່າ, ແມ່ນຈະແຈ້ງຈາກແຜນວາດ:

• ລູກຄ້າມີເຄື່ອງແມ່ຂ່າຍຂອງພວກເຮົາຖືກຕັ້ງຄ່າເປັນ DNS, ແລະການສອບຖາມ DNS ຕ້ອງຜ່ານ VPN. ນີ້ແມ່ນສິ່ງຈໍາເປັນເພື່ອໃຫ້ຜູ້ໃຫ້ບໍລິການບໍ່ສາມາດໃຊ້ DNS interception ເພື່ອສະກັດ.
• ເມື່ອເປີດເວັບໄຊທ໌, ລູກຄ້າສົ່ງຄໍາຖາມ DNS ເຊັ່ນ "IPs ຂອງ xxx.org ແມ່ນຫຍັງ"
• ບໍ່ມີຂໍ້ຜູກມັດ ແກ້ໄຂ xxx.org (ຫຼືເອົາມັນອອກຈາກແຄດ) ແລະສົ່ງຄໍາຕອບໃຫ້ກັບລູກຄ້າ "xxx.org ມີ IP ດັ່ງກ່າວແລະດັ່ງກ່າວ", ເຮັດຊ້ໍາມັນໃນຂະຫນານຜ່ານ DNSTap.
• dnstap-bgp ປະກາດທີ່ຢູ່ເຫຼົ່ານີ້ຢູ່ໃນ ໝີ ຜ່ານ BGP ຖ້າໂດເມນຢູ່ໃນບັນຊີລາຍຊື່ທີ່ຖືກບລັອກ
• ໝີ ໂຄສະນາເສັ້ນທາງໄປຫາ IP ເຫຼົ່ານີ້ດ້ວຍ next-hop self ລູກຄ້າ router
• ຊອງຕໍ່ມາຈາກລູກຄ້າໄປຫາ IP ເຫຼົ່ານີ້ຜ່ານອຸໂມງ

ໃນເຊີຟເວີ, ສໍາລັບເສັ້ນທາງໄປຫາສະຖານທີ່ທີ່ຖືກບລັອກ, ຂ້ອຍໃຊ້ຕາຕະລາງແຍກຕ່າງຫາກພາຍໃນ BIRD ແລະມັນບໍ່ໄດ້ຕັດກັບ OS ໃນທາງໃດກໍ່ຕາມ.

ໂຄງການນີ້ມີຂໍ້ເສຍຄື: ຊຸດ SYN ທໍາອິດຈາກລູກຄ້າ, ສ່ວນຫຼາຍອາດຈະ, ຈະມີເວລາທີ່ຈະອອກຈາກຜູ້ໃຫ້ບໍລິການພາຍໃນ. ເສັ້ນທາງດັ່ງກ່າວບໍ່ໄດ້ຖືກປະກາດໃນທັນທີ. ແລະໃນທີ່ນີ້ທາງເລືອກແມ່ນເປັນໄປໄດ້ຂຶ້ນຢູ່ກັບວ່າຜູ້ໃຫ້ບໍລິການເຮັດການຂັດຂວາງແນວໃດ. ຖ້າລາວພຽງແຕ່ລຸດການຈະລາຈອນ, ຫຼັງຈາກນັ້ນບໍ່ມີບັນຫາ. ແລະຖ້າລາວປ່ຽນເສັ້ນທາງໄປຫາ DPI ບາງ, ຫຼັງຈາກນັ້ນ (ທາງທິດສະດີ) ຜົນກະທົບພິເສດແມ່ນເປັນໄປໄດ້.

ມັນຍັງເປັນໄປໄດ້ວ່າລູກຄ້າບໍ່ເຄົາລົບ DNS TTL ມະຫັດສະຈັນ, ເຊິ່ງສາມາດເຮັດໃຫ້ລູກຄ້າໃຊ້ບາງລາຍການ stale ຈາກ cache ເນົ່າເປື່ອຍຂອງມັນແທນທີ່ຈະຖາມ Unbound.

ໃນທາງປະຕິບັດ, ບໍ່ວ່າອັນທໍາອິດຫຼືອັນທີສອງເຮັດໃຫ້ເກີດບັນຫາສໍາລັບຂ້ອຍ, ແຕ່ໄລຍະທາງຂອງເຈົ້າອາດຈະແຕກຕ່າງກັນ.

ການປັບແຕ່ງເຊີບເວີ

ເພື່ອຄວາມສະດວກໃນການມ້ວນ, ຂ້າພະເຈົ້າໄດ້ຂຽນ ບົດບາດຂອງ Ansible. ມັນສາມາດກຳນົດຄ່າທັງເຊີບເວີ ແລະລູກຂ່າຍໂດຍອີງໃສ່ Linux (ອອກແບບມາສຳລັບການແຈກຢາຍຕາມ deb). ການຕັ້ງຄ່າທັງຫມົດແມ່ນຂ້ອນຂ້າງຈະແຈ້ງແລະຖືກຕັ້ງໄວ້ໃນ inventory.yml. ພາລະບົດບາດນີ້ຖືກຕັດອອກຈາກ playbook ຂະຫນາດໃຫຍ່ຂອງຂ້ອຍ, ດັ່ງນັ້ນມັນອາດຈະມີຂໍ້ຜິດພາດ - ດຶງການຮ້ອງຂໍ ຍິນດີຕ້ອນຮັບ 🙂

ໃຫ້ໄປໂດຍຜ່ານອົງປະກອບຕົ້ນຕໍ.

BGP

ການແລ່ນສອງ daemons BGP ຢູ່ໃນໂຮດດຽວກັນມີບັນຫາພື້ນຖານ: BIRD ບໍ່ຕ້ອງການຕັ້ງ BGP peering ກັບ localhost (ຫຼືສ່ວນຕິດຕໍ່ທ້ອງຖິ່ນ). ຈາກຄໍາສັບທັງຫມົດ. Googling ແລະການອ່ານລາຍຊື່ທາງໄປສະນີບໍ່ໄດ້ຊ່ວຍ, ພວກເຂົາອ້າງວ່ານີ້ແມ່ນໂດຍການອອກແບບ. ບາງທີອາດມີບາງທາງ, ແຕ່ຂ້ອຍບໍ່ພົບມັນ.

ທ່ານສາມາດລອງ daemon BGP ອື່ນ, ແຕ່ຂ້ອຍມັກ BIRD ແລະມັນຖືກນໍາໃຊ້ຢູ່ທົ່ວທຸກແຫ່ງໂດຍຂ້ອຍ, ຂ້ອຍບໍ່ຕ້ອງການທີ່ຈະຜະລິດຫນ່ວຍງານ.

ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າໄດ້ເຊື່ອງ dnstap-bgp ພາຍໃນ namespace ເຄືອຂ່າຍ, ເຊິ່ງເຊື່ອມຕໍ່ກັບຮາກໂດຍຜ່ານການໂຕ້ຕອບ veth: ມັນຄ້າຍຄືທໍ່, ປາຍທີ່ຕິດຢູ່ໃນ namespaces ທີ່ແຕກຕ່າງກັນ. ໃນແຕ່ລະປາຍເຫຼົ່ານີ້, ພວກເຮົາວາງສາຍທີ່ຢູ່ IP p2p ສ່ວນຕົວທີ່ບໍ່ໄດ້ໄປນອກເຫນືອເຈົ້າພາບ, ດັ່ງນັ້ນພວກເຂົາສາມາດເປັນສິ່ງໃດ. ນີ້ແມ່ນກົນໄກດຽວກັນທີ່ໃຊ້ໃນການເຂົ້າເຖິງຂະບວນການພາຍໃນ ຮັກໂດຍທຸກຄົນ Docker ແລະເຄື່ອງບັນຈຸອື່ນໆ.

ສໍາລັບການນີ້, ມັນໄດ້ຖືກລາຍລັກອັກສອນ ສະຄຣິບ ແລະການທໍາງານທີ່ໄດ້ອະທິບາຍໄວ້ຂ້າງເທິງສໍາລັບການລາກຕົວທ່ານເອງໂດຍຜົມໄປຫາ namespace ອື່ນໄດ້ຖືກເພີ່ມເຂົ້າໃນ dnstap-bgp. ເນື່ອງຈາກວ່ານີ້, ມັນຕ້ອງໄດ້ຮັບການດໍາເນີນການເປັນຮາກຫຼືອອກໃຫ້ CAP_SYS_ADMIN binary ຜ່ານຄໍາສັ່ງ setcap.

ຕົວຢ່າງ script ສໍາລັບການສ້າງ namespace

#!/bin/bash

NS="dtap"

IP="/sbin/ip"
IPNS="$IP netns exec $NS $IP"

IF_R="veth-$NS-r"
IF_NS="veth-$NS-ns"

IP_R="192.168.149.1"
IP_NS="192.168.149.2"

/bin/systemctl stop dnstap-bgp || true

$IP netns del $NS > /dev/null 2>&1
$IP netns add $NS

$IP link add $IF_R type veth peer name $IF_NS
$IP link set $IF_NS netns $NS

$IP addr add $IP_R remote $IP_NS dev $IF_R
$IP link set $IF_R up

$IPNS addr add $IP_NS remote $IP_R dev $IF_NS
$IPNS link set $IF_NS up

/bin/systemctl start dnstap-bgp

dnstap-bgp.conf

namespace = "dtap"
domains = "/var/cache/rkn_domains.txt"
ttl = "168h"

[dnstap]
listen = "/tmp/dnstap.sock"
perm = "0666"

[bgp]
as = 65000
routerid = "192.168.149.2"

peers = [
    "192.168.149.1",
]

bird.conf

router id 192.168.1.1;

table rkn;

# Clients
protocol bgp bgp_client1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.2 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    export all;
    import none;
}

# DNSTap-BGP
protocol bgp bgp_dnstap {
    table rkn;
    local as 65000;
    neighbor 192.168.149.2 as 65000;
    direct;
    passive on;
    rr client;
    import all;
    export none;
}

# Static routes list
protocol static static_rkn {
    table rkn;
    include "rkn_routes.list";
    import all;
    export none;
}

rkn_routes.list

route 3.226.79.85/32 via "ens3";
route 18.236.189.0/24 via "ens3";
route 3.224.21.0/24 via "ens3";
...

DNS

ໂດຍຄ່າເລີ່ມຕົ້ນ, ໃນ Ubuntu, Unbound binary ຖືກຍຶດໂດຍໂປໄຟ AppArmor, ເຊິ່ງຫ້າມມັນຈາກການເຊື່ອມຕໍ່ກັບທຸກໆຊັອກເກັດ DNSTap. ທ່ານສາມາດລຶບໂປຣໄຟລ໌ນີ້, ຫຼືປິດການໃຊ້ງານມັນໄດ້:

# cd /etc/apparmor.d/disable && ln -s ../usr.sbin.unbound .
# apparmor_parser -R /etc/apparmor.d/usr.sbin.unbound

ນີ້ຄວນຈະຖືກເພີ່ມເຂົ້າໃນ playbook. ມັນເຫມາະສົມ, ແນ່ນອນ, ແກ້ໄຂໂປຣໄຟລ໌ແລະອອກສິດທິທີ່ຈໍາເປັນ, ແຕ່ຂ້ອຍຂີ້ຄ້ານເກີນໄປ.

unbound.conf

server:
    chroot: ""
    port: 53
    interface: 0.0.0.0
    root-hints: "/var/lib/unbound/named.root"
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    access-control: 192.168.0.0/16 allow

remote-control:
    control-enable: yes
    control-use-cert: no

dnstap:
    dnstap-enable: yes
    dnstap-socket-path: "/tmp/dnstap.sock"
    dnstap-send-identity: no
    dnstap-send-version: no

    dnstap-log-client-response-messages: yes

ກຳລັງດາວໂຫຼດ ແລະປະມວນຜົນລາຍການ

ສະຄຣິບສຳລັບການດາວໂຫຼດ ແລະປະມວນຜົນລາຍການທີ່ຢູ່ IP
ມັນດາວໂຫລດບັນຊີລາຍຊື່, ສະຫຼຸບເຖິງຄໍານໍາຫນ້າ pfx. ການ dont_add и dont_summarize ທ່ານສາມາດບອກ IPs ແລະເຄືອຂ່າຍທີ່ຈະຂ້າມຫຼືບໍ່ສະຫຼຸບ. ຂ້ອຍຕ້ອງການມັນ. ເຄືອຂ່າຍຍ່ອຍຂອງ VPS ຂອງຂ້ອຍຢູ່ໃນບັນຊີບລັອກ🙂

ສິ່ງທີ່ຕະຫລົກແມ່ນວ່າ RosKomSvoboda API ຂັດຂວາງການຮ້ອງຂໍກັບຕົວແທນຜູ້ໃຊ້ Python ເລີ່ມຕົ້ນ. ເບິ່ງຄືວ່າ script-kiddy ໄດ້ຮັບມັນ. ດັ່ງນັ້ນ, ພວກເຮົາປ່ຽນມັນເປັນ Ognelis.

ມາຮອດປະຈຸ, ມັນພຽງແຕ່ເຮັດວຽກກັບ IPv4. ສ່ວນແບ່ງຂອງ IPv6 ແມ່ນນ້ອຍ, ແຕ່ມັນຈະງ່າຍຕໍ່ການແກ້ໄຂ. ເວັ້ນເສຍແຕ່ວ່າທ່ານຕ້ອງໃຊ້ bird6 ເຊັ່ນກັນ.

rkn.py

#!/usr/bin/python3

import json, urllib.request, ipaddress as ipa

url = 'https://api.reserve-rbl.ru/api/v2/ips/json'
pfx = '24'

dont_summarize = {
    # ipa.IPv4Network('1.1.1.0/24'),
}

dont_add = {
    # ipa.IPv4Address('1.1.1.1'),
}

req = urllib.request.Request(
    url,
    data=None, 
    headers={
        'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.47 Safari/537.36'
    }
)

f = urllib.request.urlopen(req)
ips = json.loads(f.read().decode('utf-8'))

prefix32 = ipa.IPv4Address('255.255.255.255')

r = {}
for i in ips:
    ip = ipa.ip_network(i)
    if not isinstance(ip, ipa.IPv4Network):
        continue

    addr = ip.network_address

    if addr in dont_add:
        continue

    m = ip.netmask
    if m != prefix32:
        r[m] = [addr, 1]
        continue

    sn = ipa.IPv4Network(str(addr) + '/' + pfx, strict=False)

    if sn in dont_summarize:
        tgt = addr
    else:
        tgt = sn

    if not sn in r:
        r[tgt] = [addr, 1]
    else:
        r[tgt][1] += 1

o = []
for n, v in r.items():
    if v[1] == 1:
        o.append(str(v[0]) + '/32')
    else:
        o.append(n)

for k in o:
    print(k)

ສະຄຣິບເພື່ອອັບເດດ
ຂ້ອຍແລ່ນມັນຢູ່ເທິງມົງກຸດຫນຶ່ງຄັ້ງຕໍ່ມື້, ບາງທີມັນຄຸ້ມຄ່າທີ່ຈະດຶງມັນທຸກໆ 4 ຊົ່ວໂມງ. ນີ້, ໃນຄວາມຄິດເຫັນຂອງຂ້ອຍ, ແມ່ນໄລຍະເວລາການຕໍ່ອາຍຸທີ່ RKN ຕ້ອງການຈາກຜູ້ໃຫ້ບໍລິການ. ນອກຈາກນັ້ນ, ພວກເຂົາຍັງມີການສະກັດກັ້ນອັນຮີບດ່ວນອື່ນໆ, ເຊິ່ງອາດຈະມາຮອດໄວກວ່າ.

ເຮັດດັ່ງຕໍ່ໄປນີ້:

• ແລ່ນສະຄຣິບທຳອິດ ແລະອັບເດດລາຍຊື່ເສັ້ນທາງ (rkn_routes.list) ສໍາລັບ BIRD
• ໂຫຼດ BIRD ຄືນໃໝ່
• ປັບປຸງແລະເຮັດຄວາມສະອາດລາຍຊື່ໂດເມນສໍາລັບ dnstap-bgp
• ໂຫຼດ dnstap-bgp ຄືນໃໝ່

rkn_update.sh

#!/bin/bash

ROUTES="/etc/bird/rkn_routes.list"
DOMAINS="/var/cache/rkn_domains.txt"

# Get & summarize routes
/opt/rkn.py | sed 's/(.*)/route 1 via "ens3";/' > $ROUTES.new

if [ $? -ne 0 ]; then
    rm -f $ROUTES.new
    echo "Unable to download RKN routes"
    exit 1
fi

if [ -e $ROUTES ]; then
    mv $ROUTES $ROUTES.old
fi

mv $ROUTES.new $ROUTES

/bin/systemctl try-reload-or-restart bird

# Get domains
curl -s https://api.reserve-rbl.ru/api/v2/domains/json -o - | jq -r '.[]' | sed 's/^*.//' | sort | uniq > $DOMAINS.new

if [ $? -ne 0 ]; then
    rm -f $DOMAINS.new
    echo "Unable to download RKN domains"
    exit 1
fi

if [ -e $DOMAINS ]; then
    mv $DOMAINS $DOMAINS.old
fi

mv $DOMAINS.new $DOMAINS

/bin/systemctl try-reload-or-restart dnstap-bgp

ພວກເຂົາເຈົ້າໄດ້ຖືກລາຍລັກອັກສອນໂດຍບໍ່ມີການຄິດຫຼາຍ, ດັ່ງນັ້ນຖ້າທ່ານເຫັນບາງສິ່ງບາງຢ່າງທີ່ສາມາດປັບປຸງໄດ້ - ໄປສໍາລັບມັນ.

ການ​ຕັ້ງ​ຄ່າ​ລູກ​ຄ້າ​

ໃນທີ່ນີ້ຂ້າພະເຈົ້າຈະໃຫ້ຕົວຢ່າງສໍາລັບ routers Linux, ແຕ່ໃນກໍລະນີຂອງ Mikrotik / Cisco ມັນຄວນຈະງ່າຍຂຶ້ນ.

ກ່ອນອື່ນ ໝົດ, ພວກເຮົາຕັ້ງ BIRD:

bird.conf

router id 192.168.1.2;
table rkn;

protocol device {
    scan time 10;
};

# Servers
protocol bgp bgp_server1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.1 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    rr client;
    export none;
    import all;
}

protocol kernel {
    table rkn;
    kernel table 222;
    scan time 10;
    export all;
    import none;
}

ດັ່ງນັ້ນ, ພວກເຮົາຈະ synchronize ເສັ້ນທາງທີ່ໄດ້ຮັບຈາກ BGP ກັບຕາຕະລາງ kernel routing ເລກ 222.

ຫຼັງຈາກນັ້ນ, ມັນພຽງພໍທີ່ຈະຂໍໃຫ້ kernel ເບິ່ງແຜ່ນນີ້ກ່ອນທີ່ຈະເບິ່ງຄ່າເລີ່ມຕົ້ນ:

# ip rule add from all pref 256 lookup 222
# ip rule
0:  from all lookup local
256:    from all lookup 222
32766:  from all lookup main
32767:  from all lookup default

ທຸກສິ່ງທຸກຢ່າງ, ມັນຍັງຄົງເປັນການຕັ້ງຄ່າ DHCP ໃນ router ເພື່ອແຈກຢາຍທີ່ຢູ່ IP tunnel ຂອງເຄື່ອງແມ່ຂ່າຍເປັນ DNS, ແລະໂຄງການແມ່ນກຽມພ້ອມ.

ຂໍ້ບົກພ່ອງ

ດ້ວຍສູດການຄິດໄລ່ໃນປະຈຸບັນສໍາລັບການສ້າງແລະການປຸງແຕ່ງບັນຊີລາຍຊື່ຂອງໂດເມນ, ມັນປະກອບມີ, ໃນບັນດາສິ່ງອື່ນໆ, youtube.com ແລະ CDNs ຂອງມັນ.

ແລະນີ້ນໍາໄປສູ່ຄວາມຈິງທີ່ວ່າວິດີໂອທັງຫມົດຈະຜ່ານ VPN, ເຊິ່ງສາມາດຂັດຂວາງຊ່ອງທັງຫມົດ. ບາງທີມັນເປັນມູນຄ່າການລວບລວມບັນຊີລາຍຊື່ຂອງໂດເມນທີ່ນິຍົມ - ການຍົກເວັ້ນທີ່ຂັດຂວາງ RKN ສໍາລັບເວລານີ້, guts ແມ່ນບາງໆ. ແລະຂ້າມພວກມັນໃນເວລາວິເຄາະ.

ສະຫລຸບ

ວິທີການອະທິບາຍອະນຸຍາດໃຫ້ທ່ານຂ້າມເກືອບທຸກການຂັດຂວາງທີ່ຜູ້ໃຫ້ບໍລິການປະຕິບັດໃນປັດຈຸບັນ.

ໂດຍພື້ນຖານແລ້ວ, dnstap-bgp ສາມາດນໍາໃຊ້ສໍາລັບຈຸດປະສົງອື່ນໆທີ່ບາງລະດັບຂອງການຄວບຄຸມການຈະລາຈອນແມ່ນຈໍາເປັນໂດຍອີງໃສ່ຊື່ໂດເມນ. ພຽງແຕ່ຈື່ໄວ້ວ່າໃນເວລາຂອງພວກເຮົາ, ເວັບໄຊທ໌ຫນຶ່ງພັນສາມາດຕິດຢູ່ໃນທີ່ຢູ່ IP ດຽວກັນ (ທີ່ຢູ່ເບື້ອງຫຼັງບາງ Cloudflare, ສໍາລັບການຍົກຕົວຢ່າງ), ດັ່ງນັ້ນວິທີການນີ້ມີຄວາມຖືກຕ້ອງຕ່ໍາກວ່າ.

ແຕ່ສໍາລັບຄວາມຕ້ອງການຂອງ bypassing locks, ນີ້ແມ່ນຂ້ອນຂ້າງພຽງພໍ.

ການເພີ່ມເຕີມ, ການແກ້ໄຂ, ດຶງຄໍາຮ້ອງຂໍ - ຍິນດີຕ້ອນຮັບ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com