ຄຸນນະສົມບັດຂອງການຕັ້ງຄ່າ DPI

ບົດຄວາມນີ້ບໍ່ໄດ້ກວມເອົາການປັບ DPI ຢ່າງເຕັມທີ່ແລະທຸກສິ່ງທຸກຢ່າງທີ່ເຊື່ອມຕໍ່ກັນ, ແລະມູນຄ່າທາງວິທະຍາສາດຂອງຂໍ້ຄວາມແມ່ນຫນ້ອຍ. ແຕ່ມັນອະທິບາຍວິທີທີ່ງ່າຍທີ່ສຸດທີ່ຈະຂ້າມ DPI, ເຊິ່ງບໍລິສັດຈໍານວນຫຼາຍບໍ່ໄດ້ພິຈາລະນາ.

ຂໍ້ປະຕິເສດຄວາມຮັບຜິດຊອບ #1: ບົດຄວາມນີ້ມີລັກສະນະການຄົ້ນຄວ້າ ແລະບໍ່ໄດ້ສົ່ງເສີມໃຫ້ໃຜເຮັດ ຫຼືໃຊ້ອັນໃດ. ແນວຄວາມຄິດແມ່ນອີງໃສ່ປະສົບການສ່ວນຕົວ, ແລະຄວາມຄ້າຍຄືກັນໃດໆແມ່ນແບບສຸ່ມ.

ຄໍາເຕືອນສະບັບທີ 2: ບົດຄວາມບໍ່ໄດ້ເປີດເຜີຍຄວາມລັບຂອງ Atlantis, ການຄົ້ນຫາ Holy Grail ແລະຄວາມລຶກລັບອື່ນໆຂອງຈັກກະວານ; ເອກະສານທັງຫມົດແມ່ນມີຢູ່ໂດຍບໍ່ເສຍຄ່າແລະອາດຈະຖືກອະທິບາຍຫຼາຍກວ່າຫນຶ່ງຄັ້ງໃນHabré. (ຂ້ອຍບໍ່ພົບມັນ, ຂ້ອຍຈະຂອບໃຈສໍາລັບການເຊື່ອມຕໍ່)

ສໍາລັບຜູ້ທີ່ໄດ້ອ່ານຄໍາເຕືອນ, ໃຫ້ເລີ່ມຕົ້ນ.

DPI ແມ່ນຫຍັງ?

DPI ຫຼື Deep Packet Inspection ເປັນເທກໂນໂລຍີສໍາລັບການສະສົມຂໍ້ມູນສະຖິຕິ, ການກວດສອບແລະການກັ່ນຕອງແພັກເກັດເຄືອຂ່າຍໂດຍການວິເຄາະບໍ່ພຽງແຕ່ສ່ວນຫົວຂອງແພັກເກັດ, ແຕ່ຍັງເນື້ອຫາເຕັມຂອງການຈະລາຈອນໃນລະດັບຂອງຮູບແບບ OSI ຕັ້ງແຕ່ສອງແລະສູງກວ່າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດກວດພົບແລະ ບລັອກໄວຣັສ, ການກັ່ນຕອງຂໍ້ມູນທີ່ບໍ່ກົງກັບເງື່ອນໄຂທີ່ລະບຸ.

ມີສອງປະເພດຂອງການເຊື່ອມຕໍ່ DPI, ເຊິ່ງໄດ້ອະທິບາຍ ValdikSS ໃນ github:

Passive DPI

DPI ເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍຜູ້ໃຫ້ບໍລິການໃນຂະຫນານ (ບໍ່ແມ່ນການຕັດ) ໂດຍຜ່ານຕົວແຍກ optical ຕົວຕັ້ງຕົວຕີ, ຫຼືການນໍາໃຊ້ການສະທ້ອນຂອງການຈະລາຈອນທີ່ມາຈາກຜູ້ໃຊ້. ການເຊື່ອມຕໍ່ນີ້ບໍ່ເຮັດໃຫ້ຄວາມໄວຂອງເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການຊ້າລົງ ໃນກໍລະນີທີ່ມີການປະຕິບັດ DPI ບໍ່ພຽງພໍ, ນັ້ນແມ່ນເຫດຜົນທີ່ຜູ້ໃຫ້ບໍລິການຂະຫນາດໃຫຍ່ໃຊ້ມັນ. DPI ກັບປະເພດການເຊື່ອມຕໍ່ນີ້ສາມາດກວດພົບທາງດ້ານວິຊາການພຽງແຕ່ຄວາມພະຍາຍາມທີ່ຈະຮ້ອງຂໍເນື້ອຫາທີ່ຕ້ອງຫ້າມ, ແຕ່ບໍ່ຢຸດມັນ. ເພື່ອຂ້າມຂໍ້ຈໍາກັດນີ້ແລະຂັດຂວາງການເຂົ້າເຖິງເວັບໄຊທ໌ທີ່ຕ້ອງຫ້າມ, DPI ຈະສົ່ງຜູ້ໃຊ້ຮ້ອງຂໍໃຫ້ URL ທີ່ຖືກບລັອກເປັນແພັກເກັດ HTTP ທີ່ຖືກສ້າງຂື້ນພິເສດດ້ວຍການປ່ຽນເສັ້ນທາງໄປຫາຫນ້າ stub ຂອງຜູ້ໃຫ້ບໍລິການ, ຄືກັບວ່າຄໍາຕອບດັ່ງກ່າວຖືກສົ່ງໂດຍຊັບພະຍາກອນທີ່ຮ້ອງຂໍເອງ (IP ຂອງຜູ້ສົ່ງ. ທີ່ຢູ່ ແລະລໍາດັບ TCP ແມ່ນປອມ). ເນື່ອງຈາກວ່າ DPI ມີຄວາມໃກ້ຊິດກັບຜູ້ໃຊ້ຫຼາຍກວ່າເວັບໄຊທ໌ທີ່ຮ້ອງຂໍ, ການຕອບສະຫນອງທີ່ຖືກປອມແປງໄປເຖິງອຸປະກອນຂອງຜູ້ໃຊ້ໄວກວ່າການຕອບສະຫນອງທີ່ແທ້ຈິງຈາກເວັບໄຊທ໌.

DPI ເຄື່ອນໄຫວ

Active DPI - DPI ເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍຂອງຜູ້ໃຫ້ບໍລິການໃນແບບປົກກະຕິ, ຄືກັບອຸປະກອນເຄືອຂ່າຍອື່ນໆ. ຜູ້ໃຫ້ບໍລິການກໍານົດເສັ້ນທາງເພື່ອໃຫ້ DPI ໄດ້ຮັບການຈະລາຈອນຈາກຜູ້ໃຊ້ໄປຫາທີ່ຢູ່ IP ຫຼືໂດເມນທີ່ຖືກບລັອກ, ແລະຈາກນັ້ນ DPI ຕັດສິນໃຈວ່າຈະອະນຸຍາດຫຼືຂັດຂວາງການຈະລາຈອນ. Active DPI ສາມາດກວດສອບການຈາລະຈອນທັງຂາອອກແລະຂາເຂົ້າ, ຢ່າງໃດກໍຕາມ, ຖ້າຜູ້ໃຫ້ບໍລິການໃຊ້ DPI ພຽງແຕ່ເພື່ອສະກັດເວັບໄຊທ໌ຈາກການລົງທະບຽນ, ມັນມັກຈະຖືກຕັ້ງຄ່າເພື່ອກວດກາເບິ່ງພຽງແຕ່ການຈະລາຈອນຂາອອກ.

ບໍ່ພຽງແຕ່ປະສິດທິຜົນຂອງການຂັດຂວາງການຈະລາຈອນ, ແຕ່ການໂຫຼດຂອງ DPI ແມ່ນຂຶ້ນກັບປະເພດຂອງການເຊື່ອມຕໍ່, ດັ່ງນັ້ນມັນເປັນໄປໄດ້ທີ່ຈະບໍ່ສະແກນການຈະລາຈອນທັງຫມົດ, ແຕ່ວ່າພຽງແຕ່ບາງອັນເທົ່ານັ້ນ:

"ປົກກະຕິ" DPI

A "ປົກກະຕິ" DPI ແມ່ນ DPI ທີ່ກັ່ນຕອງປະເພດຂອງການຈະລາຈອນສະເພາະຢູ່ໃນພອດທົ່ວໄປທີ່ສຸດສໍາລັບປະເພດນັ້ນ. ຕົວຢ່າງ, DPI "ປົກກະຕິ" ກວດພົບແລະຂັດຂວາງການຈະລາຈອນ HTTP ທີ່ຖືກຫ້າມພຽງແຕ່ຢູ່ໃນພອດ 80, ການຈະລາຈອນ HTTPS ໃນພອດ 443. ປະເພດຂອງ DPI ນີ້ຈະບໍ່ຕິດຕາມເນື້ອຫາທີ່ຖືກຫ້າມຖ້າທ່ານສົ່ງຄໍາຮ້ອງຂໍທີ່ມີ URL ທີ່ຖືກບລັອກໄປຫາ IP ທີ່ບໍ່ຖືກບລັອກຫຼືບໍ່. ພອດມາດຕະຖານ.

"ເຕັມ" DPI

ບໍ່ຄືກັບ DPI "ປົກກະຕິ", ປະເພດຂອງ DPI ນີ້ຈັດປະເພດການຈະລາຈອນໂດຍບໍ່ຄໍານຶງເຖິງທີ່ຢູ່ IP ແລະພອດ. ດ້ວຍວິທີນີ້, ເວັບໄຊທ໌ທີ່ຖືກບລັອກຈະບໍ່ເປີດເຖິງແມ່ນວ່າທ່ານກໍາລັງໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນຢູ່ໃນພອດທີ່ແຕກຕ່າງກັນຫມົດແລະທີ່ຢູ່ IP ທີ່ບໍ່ຖືກບລັອກ.

ໃຊ້ DPI

ໃນຄໍາສັ່ງທີ່ຈະບໍ່ຫຼຸດຜ່ອນອັດຕາການໂອນຂໍ້ມູນ, ທ່ານຈໍາເປັນຕ້ອງໃຊ້ "Normal" passive DPI, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານມີປະສິດທິພາບ? ບລັອກໃດ? ຊັບພະຍາກອນ, ການຕັ້ງຄ່າເລີ່ມຕົ້ນເບິ່ງຄືວ່ານີ້:

• ການກັ່ນຕອງ HTTP ຢູ່ໃນພອດ 80 ເທົ່ານັ້ນ
• HTTPS ຢູ່ໃນພອດ 443 ເທົ່ານັ້ນ
• BitTorrent ຢູ່ໃນພອດ 6881-6889 ເທົ່ານັ້ນ

ແຕ່ບັນຫາເລີ່ມຕົ້ນຖ້າຫາກວ່າ ຊັບພະຍາກອນຈະໃຊ້ພອດທີ່ແຕກຕ່າງກັນເພື່ອບໍ່ໃຫ້ຜູ້ໃຊ້ສູນເສຍ, ຫຼັງຈາກນັ້ນທ່ານຈະຕ້ອງກວດເບິ່ງແຕ່ລະຊຸດ, ຕົວຢ່າງທ່ານສາມາດໃຫ້:

• HTTP ເຮັດວຽກຢູ່ໃນພອດ 80 ແລະ 8080
• HTTPS ໃນພອດ 443 ແລະ 8443
• BitTorrent ໃນແຖບອື່ນໆ

ເນື່ອງຈາກວ່ານີ້, ທ່ານຈະຕ້ອງປ່ຽນເປັນ "Active" DPI ຫຼືໃຊ້ການຂັດຂວາງໂດຍໃຊ້ເຄື່ອງແມ່ຂ່າຍ DNS ເພີ່ມເຕີມ.

ການຂັດຂວາງການນໍາໃຊ້ DNS

ວິທີຫນຶ່ງທີ່ຈະສະກັດການເຂົ້າເຖິງຊັບພະຍາກອນແມ່ນການຂັດຂວາງການຮ້ອງຂໍ DNS ໂດຍໃຊ້ເຄື່ອງແມ່ຂ່າຍ DNS ທ້ອງຖິ່ນແລະສົ່ງຄືນຜູ້ໃຊ້ທີ່ຢູ່ IP "stub" ແທນທີ່ຈະເປັນຊັບພະຍາກອນທີ່ຕ້ອງການ. ແຕ່ນີ້ບໍ່ໄດ້ໃຫ້ຜົນໄດ້ຮັບທີ່ຮັບປະກັນ, ເນື່ອງຈາກວ່າມັນເປັນໄປໄດ້ທີ່ຈະປ້ອງກັນການຫຼອກລວງທີ່ຢູ່:

ທາງ​ເລືອກ 1​: ການ​ແກ້​ໄຂ​ໄຟລ​໌ hosts (ສໍາ​ລັບ desktop​)

ໄຟລ໌ hosts ແມ່ນສ່ວນຫນຶ່ງທີ່ສໍາຄັນຂອງລະບົບປະຕິບັດການໃດກໍ່ຕາມ, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານໃຊ້ມັນຕະຫຼອດເວລາ. ເພື່ອເຂົ້າເຖິງຊັບພະຍາກອນ, ຜູ້ໃຊ້ຕ້ອງ:

1. ຊອກຫາທີ່ຢູ່ IP ຂອງຊັບພະຍາກອນທີ່ຕ້ອງການ
2. ເປີດໄຟລ໌ hosts ສໍາລັບການແກ້ໄຂ (ສິດທິຂອງຜູ້ເບິ່ງແຍງລະບົບ), ຢູ່ໃນ:
   • Linux: /etc/hosts
   • Windows: %WinDir%System32driversetchosts
3. ເພີ່ມແຖວໃນຮູບແບບ:
4. ບັນ​ທຶກ​ການ​ປ່ຽນ​ແປງ

ປະໂຫຍດຂອງວິທີການນີ້ແມ່ນຄວາມສັບສົນຂອງມັນແລະຄວາມຕ້ອງການສໍາລັບສິດທິຂອງຜູ້ບໍລິຫານ.

ທາງເລືອກ 2: DoH (DNS ຜ່ານ HTTPS) ຫຼື DoT (DNS over TLS)

ວິທີການເຫຼົ່ານີ້ຊ່ວຍໃຫ້ທ່ານສາມາດປົກປ້ອງການຮ້ອງຂໍ DNS ຂອງທ່ານຈາກການຫຼອກລວງໂດຍໃຊ້ການເຂົ້າລະຫັດ, ແຕ່ການປະຕິບັດບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນໂດຍທຸກແອັບພລິເຄຊັນ. ໃຫ້ເບິ່ງຄວາມງ່າຍຂອງການຕັ້ງຄ່າ DoH ສໍາລັບ Mozilla Firefox ຮຸ່ນ 66 ຈາກຝ່າຍຜູ້ໃຊ້:

1. ໄປທີ່ທີ່ຢູ່ about: config ໃນ Firefox
2. ຢືນຢັນວ່າຜູ້ໃຊ້ຖືວ່າມີຄວາມສ່ຽງທັງຫມົດ
3. ປ່ຽນຄ່າພາຣາມິເຕີ network.trr.mode on:
   • 0 - ປິດການໃຊ້ງານ TRR
   • 1 - ການເລືອກອັດຕະໂນມັດ
   • 2 - ເປີດໃຊ້ DoH ໂດຍຄ່າເລີ່ມຕົ້ນ
4. ປ່ຽນພາລາມິເຕີ network.tr.uri ເລືອກ DNS server
   • Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
   • GoogleDNS: dns.google.com/experimental
5. ປ່ຽນພາລາມິເຕີ network.trr.boostrap ທີ່ຢູ່ on:
   • ຖ້າ Cloudflare DNS ຖືກເລືອກ: 1.1.1.1
   • ຖ້າ Google DNS ຖືກເລືອກ: 8.8.8.8
6. ປ່ຽນຄ່າພາຣາມິເຕີ network.security.esni.enabled ສຸດ ທີ່ແທ້ຈິງ
7. ກວດເບິ່ງວ່າການຕັ້ງຄ່າແມ່ນຖືກຕ້ອງໂດຍໃຊ້ ບໍລິການ Cloudflare

ເຖິງແມ່ນວ່າວິທີການນີ້ມີຄວາມຊັບຊ້ອນຫຼາຍ, ມັນບໍ່ໄດ້ຮຽກຮ້ອງໃຫ້ຜູ້ໃຊ້ມີສິດທິຂອງຜູ້ເບິ່ງແຍງລະບົບ, ແລະມີຫຼາຍວິທີອື່ນເພື່ອຮັບປະກັນການຮ້ອງຂໍ DNS ທີ່ບໍ່ໄດ້ອະທິບາຍໄວ້ໃນບົດຄວາມນີ້.

ທາງ​ເລືອກ 3 (ສໍາ​ລັບ​ອຸ​ປະ​ກອນ​ມື​ຖື​)​:

ການໃຊ້ແອັບ Cloudflare ເພື່ອ Android и IOS.

ການທົດສອບ

ເພື່ອກວດສອບການຂາດການເຂົ້າເຖິງຊັບພະຍາກອນ, ໂດເມນທີ່ຖືກບລັອກຢູ່ໃນສະຫະພັນລັດເຊຍໄດ້ຖືກຊື້ຊົ່ວຄາວ:

• HTTP check + ພອດ 80
• HTTP check + ພອດ 8080
• HTTPS check + ພອດ 443
• HTTPS check + ພອດ 8443

ສະຫລຸບ

ຂ້າພະເຈົ້າຫວັງວ່າບົດຄວາມນີ້ຈະເປັນປະໂຫຍດແລະຈະຊຸກຍູ້ບໍ່ພຽງແຕ່ຜູ້ບໍລິຫານທີ່ຈະເຂົ້າໃຈຫົວຂໍ້ໃນລາຍລະອຽດເພີ່ມເຕີມ, ແຕ່ຍັງຈະໃຫ້ຄວາມເຂົ້າໃຈທີ່ ຊັບພະຍາກອນຈະຢູ່ຂ້າງຜູ້ໃຊ້ສະເຫມີ, ແລະການຄົ້ນຫາວິທີແກ້ໄຂໃຫມ່ຄວນຈະເປັນສ່ວນຫນຶ່ງທີ່ສໍາຄັນສໍາລັບພວກເຂົາ.

ການເຊື່ອມຕໍ່ທີ່ເປັນປະໂຫຍດ

• ການປະຕິບັດມາດຕະຖານ SNI ທີ່ເຂົ້າລະຫັດໃນ Firefox
• Offline DPI Bypass

ການເພີ່ມນອກບົດຄວາມການທົດສອບ Cloudflare ບໍ່ສາມາດສໍາເລັດໃນເຄືອຂ່າຍຜູ້ປະຕິບັດການ Tele2, ແລະ DPI ທີ່ຖືກຕັ້ງຄ່າຢ່າງຖືກຕ້ອງຕັນການເຂົ້າເຖິງເວັບໄຊທ໌ທົດສອບ.
P.S. ມາຮອດປະຈຸ, ນີ້ແມ່ນຜູ້ໃຫ້ບໍລິການທໍາອິດທີ່ຈະສະກັດຊັບພະຍາກອນຢ່າງຖືກຕ້ອງ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com