Å ajÄ rakstÄ netiek apskatÄ«ta pilna DPI iestatÄ«Å”ana un saistÄ«tÄs tÄmas, un teksta zinÄtniskÄ vÄrtÄ«ba ir minimÄla. TaÄu tajÄ tiek aprakstÄ«ts vienkÄrÅ”Äkais veids, kÄ apiet DPI, ko daudzas kompÄnijas nav ÅÄmuÅ”as vÄrÄ.
BrÄ«dinÄjums Nr. 1: Å”is raksts ir pÄtÄ«juma rakstura, un nenorÄda nevienam veikt kÄdas darbÄ«bas vai izmantot to. Ideja balstÄs uz personÄ«gu pieredzi, un visi sakritÄ«bÄs ir nejauÅ”as.
BrÄ«dinÄjums Nr. 2: rakstÄ netiek atklÄti AtlantÄ«das noslÄpumi, SvÄtÄ GrÄla meklÄjumi un citi Visuma noslÄpumi, viss materiÄls ir brÄ«vi pieejams un, iespÄjams, jau ir vairÄkas reizes aprakstÄ«ts HabbÄ. (Es neatradu, bÅ«Å”u pateicÄ«gs par saiti)
Lai tie, kas izlasÄ«ja brÄ«dinÄjumus, sÄktu.
Kas ir DPI?
DPI jeb Deep Packet Inspection ir tehnoloÄ£ija, kas apkopo statistikas datus, pÄrbauda un filtrÄ tÄ«kla paketes, analizÄjot ne tikai paketes galvenes, bet arÄ« pilno saturu uz OSI modeļa otrÄ lÄ«meÅa un augstÄk, kas ļauj atklÄt un bloÄ·Ät vÄ«rusus, filtrÄt informÄciju, kas neatbilst noteiktiem kritÄrijiem.
PastÄv divi DPI savienojuma veidi, kas tiek aprakstÄ«ti :
Pasīvais DPI
DPI, kas pieslÄgts pakalpojumu sniedzÄja tÄ«klam paralÄli (ne krustÄm) vai caur pasÄ«vo optisko dalÄ«tÄju, vai izmantojot iznÄkuma trafika atspoguļoÅ”anu no lietotÄjiem. Å Äds pieslÄgums nepalÄnina pakalpojumu sniedzÄja tÄ«kla Ätrumu, ja DPI veiktspÄja ir nepietiekama, tÄpÄc to izmanto lielie pakalpojumu sniedzÄji. DPI ar Å”Äda veida pieslÄgumu tehniski var tikai konstatÄt mÄÄ£inÄjumu pieprasÄ«t aizliegtu saturu, bet neapturÄt to. Lai apietu Å”o ierobežojumu un bloÄ·Ätu piekļuvi aizliegtajai vietnei, DPI nosÅ«ta lietotÄjam, kurÅ” pieprasa bloÄ·Äto URL, Ä«paÅ”i sastÄdÄ«tu HTTP paketi ar pÄradresÄciju uz pakalpojumu sniedzÄja bloÄ·ÄÅ”anas lapu, it kÄ tÄdu atbildi bÅ«tu nosÅ«tÄ«jis pats pieprasÄ«tÄ resurss (tiek viltojis IP adresi un TCP secÄ«bu). TÄ kÄ DPI fiziski atrodas tuvÄk lietotÄjam nekÄ pieprasÄ«tÄ vietne, viltojums atbilde sasniedz lietotÄja ierÄ«ci ÄtrÄk nekÄ Ä«stÄ atbilde no vietnes.
Aktīvais DPI
AktÄ«vais DPI ā DPI, kas pieslÄgts pakalpojumu sniedzÄja tÄ«klam ierastÄ veidÄ, lÄ«dzÄ«gi kÄ jebkura cita tÄ«kla ierÄ«ce. Pakalpojumu sniedzÄjs konfigurÄ marÅ”rutÄÅ”anu tÄ, lai DPI saÅemtu trafiku no lietotÄjiem uz bloÄ·Ätajiem IP adresÄm vai domÄniem, un DPI jau pieÅem lÄmumu par trafika atļauÅ”anu vai bloÄ·ÄÅ”anu. AktÄ«vais DPI var pÄrbaudÄ«t gan izejoÅ”o, gan ienÄkoÅ”o trafiku, tomÄr, ja pakalpojumu sniedzÄjs piemÄro DPI tikai, lai bloÄ·Ätu vietnes no reÄ£istra, visbiežÄk to konfigurÄ, lai pÄrbaudÄ«tu tikai izejoÅ”o trafiku.
Savienojuma veids ietekmÄ ne tikai trafika bloÄ·ÄÅ”anas efektivitÄti, bet arÄ« slodzi uz DPI, tÄpÄc pastÄv iespÄja nepÄrbaudÄ«t visu trafiku, bet tikai noteiktu:
āParastaisā DPI
Ar āparastoā DPI saprotams tÄds DPI, kas filtrÄ noteikta veida trafiku tikai uz visizplatÄ«tÄkajiem portiem Å”im tipam. PiemÄram, āparastaisā DPI nosaka un bloÄ·Ä aizliegtos HTTP trafikus tikai uz porta 80, HTTPS trafiku uz porta 443. Å is DPI veids nesekos aizliegtajam saturam, ja jÅ«s nosÅ«tÄ«siet pieprasÄ«jumu ar bloÄ·Ätu URL uz nebloÄ·Ätu IP vai nestandarta portu.
āPilnaisā DPI
AtŔķirÄ«bÄ no āparastÄā DPI, Å”is tipa DPI klasificÄ trafiku neatkarÄ«gi no IP adreses un porta. TÄdÄjÄdi bloÄ·ÄtÄs vietnes netiks atvÄrtas, pat ja jÅ«s izmantojat starpniekserveri pilnÄ«gi citÄ portÄ un nebloÄ·ÄtÄ IP adresÄ.
DPI izmantoŔana
Lai nesamazinÄtu datu pÄrraides Ätrumu, jÄizmanto āParastaisā pasÄ«vais DPI, kas ļauj efektÄ«vi bloÄ·Ät jebkÄdus resursus, pÄc noklusÄjuma konfigurÄcija izskatÄs Å”Ädi:
- HTTP filtrÄt tikai uz 80 porta
- HTTPS tikai uz 443 porta
- BitTorrent tikai uz 6881-6889 portiem
Bet problÄmas sÄkas, ja resurss izmantos citu portu, lai nezaudÄtu lietotÄjus, tad bÅ«s jÄpÄrbauda katrs pakets, piemÄram, var minÄt:
- HTTP darbojas uz 80 un 8080 porta
- HTTPS uz 443 un 8443 porta
- BitTorrent uz jebkura cita diapazona
TÄpÄc bÅ«s jÄpÄriet uz āAktÄ«voā DPI vai jÄizmanto bloÄ·ÄÅ”ana, izmantojot papildu DNS serveri.
BloÄ·ÄÅ”ana ar DNS
Viens no veidiem, kÄ bloÄ·Ät piekļuvi resursam, ir DNS pieprasÄ«jumu pÄrtverÅ”ana, izmantojot lokÄlo DNS serveri, un lietotÄjam tiek atgriezts IP adrese 'izsistÅ”anas' variantam, nevis pieprasÄ«tajam resursam. TomÄr tas nenodroÅ”ina garantÄtu rezultÄtu, jo pastÄv iespÄja novÄrst adreses maiÅu:
1. variants: Hosts faila rediÄ£ÄÅ”ana (datoriem)
Hosts fails ir katras operÄtÄjsistÄmas neatÅemama sastÄvdaļa, kas ļauj to vienmÄr izmantot. Lai piekļūtu resursam, lietotÄjam jÄ:
- Uzziniet pieprasÄ«tÄ resursa IP adresi
- AtvÄrt rediÄ£ÄÅ”anai hosts failu (prasÄs administratora tiesÄ«bas), kas atrodas:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
- Pievienojiet rindu Å”ÄdÄ formÄtÄ:
- SaglabÄt izmaiÅas
Å Ä« metoda priekÅ”rocÄ«ba ir tÄs sarežģītÄ«ba un nepiecieÅ”amÄ«ba pÄc administratora tiesÄ«bÄm.
2. variants: DoH (DNS pÄr HTTPS) vai DoT (DNS pÄr TLS)
Å Ä«s metodes ļauj aizsargÄt pret DNS pieprasÄ«jumu maiÅu, izmantojot Å”ifrÄÅ”anu, taÄu tÄs neatbalsta visi lietojumi. ApskatÄ«sim DoH uzstÄdÄ«Å”anas vienkÄrŔību Mozilla Firefox versijÄ 66 no lietotÄja puses:
- Iet uz adresi Firefox
- ApstiprinÄt, ka lietotÄjs uzÅemas visu risku
- MainÄ«t parametra vÄrtÄ«bu network.trr.mode uz:
- 0 ā atslÄgt TRR
- 1 ā automÄtiskÄ izvÄle
- 2 ā iespÄjot DoH pÄc noklusÄjuma
- MainÄ«t parametru network.trr.uri izvÄloties DNS serveri
- Cloudflare DNS:
- Google DNS:
- Mainīt parametru network.trr.boostrapAddress uz:
- Ja izvÄlÄts Cloudflare DNS: 1.1.1.1
- Ja izvÄlÄts Google DNS: 8.8.8.8
- MainÄ«t parametra vÄrtÄ«bu network.security.esni.enabled uz true
- PÄrbaudÄ«t konfigurÄcijas pareizÄ«bu ar
Kaut arÄ« Ŕī metode ir sarežģītÄka, tai nav nepiecieÅ”amas administratora tiesÄ«bas lietotÄjam, kÄ arÄ« ir daudz citu DNS pieprasÄ«jumu aizsardzÄ«bas veidu, kas nav aprakstÄ«ti Å”ajÄ rakstÄ.
3. variants (mobilajÄm ierÄ«cÄm):
Cloudflare lietotnes izmantoŔana un .
TestÄÅ”ana
Lai pÄrbaudÄ«tu piekļuves trÅ«kumu resursiem, tika Ä«slaicÄ«gi iegÄdÄts domÄns, kas ir bloÄ·Äts Krievijas teritorijÄ:
SecinÄjums
Ceru, ka Å”is raksts bÅ«s noderÄ«gs un mudinÄs ne tikai administratorus detalizÄtÄk izprast Å”o tÄmu, bet arÄ« dos izpratni, ka resursi vienmÄr bÅ«s lietotÄja pusÄ, un jaunu risinÄjumu meklÄÅ”ana tiem jÄbÅ«t neatÅemamai daļai.
Noderīgas saites
Pielikums Ärpus rakstaTestu uz Cloudflare nav iespÄjams iziet Tele2 operatora tÄ«klÄ, un pareizi konfigurÄts DPI bloÄ·Ä piekļuvi testÄÅ”anas platformai.
P.S. Å is ir pirmais providers, kas pareizi bloÄ·Ä resursus.
Avots: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Lithuanian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish