ProHoster > Blogs > Administrācija > BGP iestatÄ«Å”ana, lai apietu bloÄ·Ä“Å”anu vai "Kā es pārstāju baidÄ«ties un iemÄ«lējos RKN"

BGP iestatÄ«Å”ana, lai apietu bloÄ·Ä“Å”anu vai "Kā es pārstāju baidÄ«ties un iemÄ«lējos RKN"

Nu, labi, par ā€œmÄ«lētuā€ ir pārspÄ«lēts. DrÄ«zāk "varēja sadzÄ«vot ar".

Kā jÅ«s visi zināt, kopÅ” 16. gada 2018. aprīļa Roskomnadzor ārkārtÄ«gi plaÅ”os vilcienos bloķē piekļuvi resursiem internetā, pievienojot vienotajam domēna vārdu reÄ£istram, vietņu lapu indeksiem internetā un tÄ«kla adresēm, kas ļauj identificēt vietnes. internetāā€, kas satur informāciju, kuras izplatÄ«Å”ana Krievijas Federācijā ir aizliegtaā€ (tekstā - tikai reÄ£istrs) ar /10 reizēm. Tā rezultātā cieÅ” Krievijas Federācijas pilsoņi un uzņēmumi, kuri zaudējuÅ”i piekļuvi tiem nepiecieÅ”amajiem pilnÄ«gi legāliem resursiem.

Pēc tam, kad komentāros pie viena raksta par HabrĆ© teicu, ka esmu gatavs palÄ«dzēt upuriem, izveidojot apvedceļa shēmu, pie manis vērsās vairāki cilvēki, lÅ«dzot Ŕādu palÄ«dzÄ«bu. Kad viņiem viss darbojās, viens no viņiem ieteica rakstā aprakstÄ«t tehniku. Pēc nelielām pārdomām nolēmu lauzt klusumu vietnē un mēģināt kaut reizi uzrakstÄ«t kaut ko starpposmu starp projektu un Facebook ierakstu, t.i. habraposts. Rezultāts ir jÅ«su priekŔā.

Atbildības noraidīŔana

Tā kā nav Ä«paÅ”i likumÄ«gi publicēt veidus, kā apiet piekļuves bloÄ·Ä“Å”anu informācijai, kas aizliegta Krievijas Federācijas teritorijā, Ŕī raksta mērÄ·is bÅ«s runāt par metodi, kas ļauj automatizēt piekļuvi resursiem, kas ir atļauti Krievijas Federācijas teritorijā, bet kāda cita darbÄ«bu dēļ tie nav tieÅ”i pieejami caur jÅ«su pakalpojumu sniedzēju. Un piekļuve citiem resursiem, kas iegÅ«ti darbÄ«bu rezultātā no raksta, ir neveiksmÄ«gs blakus efekts un nekādā gadÄ«jumā nav raksta mērÄ·is.

Turklāt, tā kā pēc profesijas, aicinājuma un dzÄ«ves ceļa esmu galvenokārt tÄ«kla arhitekts, programmÄ“Å”ana un Linux nav manas stiprās puses. Tāpēc, protams, skriptus var uzrakstÄ«t labāk, droŔības problēmas VPS var izstrādāt dziļāk utt. JÅ«su ieteikumi tiks pieņemti ar pateicÄ«bu, ja tie bÅ«s pietiekami detalizēti - ar prieku pievienoÅ”u raksta tekstam.

TL; DR

Mēs automatizējam piekļuvi resursiem, izmantojot jÅ«su esoÅ”o tuneli, izmantojot reÄ£istra kopiju un BGP protokolu. MērÄ·is ir noņemt tunelÄ« visu bloķētajiem resursiem adresēto trafiku. Paskaidrojumu minimums, galvenokārt soli pa solim sniegtas instrukcijas.

Kas jums ir vajadzīgs Ŕim nolūkam?

Diemžēl Å”is ieraksts nav paredzēts visiem. Lai izmantotu Å”o paņēmienu, jums bÅ«s jāsaliek kopā vairāki elementi:

  1. Jums ir jābÅ«t Linux serverim kaut kur ārpus bloÄ·Ä“Å”anas lauka. Vai vismaz vēlme iegÅ«t Ŕādu serveri - par laimi tas tagad maksā no 9 USD/gadā, un, iespējams, mazāk. Metode ir piemērota arÄ« tad, ja jums ir atseviŔķs VPN tunelis, tad serveris var atrasties bloÄ·Ä“Å”anas laukā.
  2. JÅ«su marÅ”rutētājam ir jābÅ«t pietiekami gudram, lai tas bÅ«tu iespējams
    • jebkurÅ” VPN klients, kas jums patÄ«k (es dodu priekÅ”roku OpenVPN, bet tas var bÅ«t PPTP, L2TP, GRE+IPSec vai jebkura cita opcija, kas izveido tuneļa saskarni);
    • BGPv4 protokols. Tas nozÄ«mē, ka SOHO tas varētu bÅ«t Mikrotik vai jebkurÅ” marÅ”rutētājs ar OpenWRT/LEDE/lÄ«dzÄ«gu pielāgotu programmaparatÅ«ru, kas ļauj instalēt Quagga vai Bird. ArÄ« datora marÅ”rutētāja izmantoÅ”ana nav aizliegta. Uzņēmuma gadÄ«jumā meklējiet BGP atbalstu sava robežas marÅ”rutētāja dokumentācijā.
  3. Jums ir jābÅ«t izpratnei par Linux lietoÅ”anu un tÄ«kla tehnoloÄ£ijām, tostarp BGP protokolu. Vai vismaz vēlas iegÅ«t Ŕādu ideju. Tā kā Å”oreiz neesmu gatavs aptvert neizmērojamÄ«bu, jums bÅ«s paÅ”am jāizpēta daži aspekti, kas jums ir nesaprotami. Tomēr es, protams, atbildÄ“Å”u uz konkrētiem jautājumiem komentāros un diez vai bÅ«Å”u vienÄ«gais, kas atbildēs, tāpēc nevilcinieties jautāt.

Kas tiek izmantots piemērā

  • ReÄ£istra kopija - no https://github.com/zapret-info/z-i 
  • VPS ā€” Ubuntu 16.04
  • MarÅ”rutÄ“Å”anas pakalpojums - putns 1.6.3   
  • MarÅ”rutētājs - Mikrotik hAP ac
  • Darba mapes - tā kā mēs strādājam kā root, lielākā daļa no visa atradÄ«sies saknes mājas mapē. AttiecÄ«gi:
    • /root/blacklist ā€” darba mape ar kompilācijas skriptu
    • /root/zi ā€” reÄ£istra kopija no github
    • /etc/bird - standarta mape putnu pakalpojuma iestatÄ«jumiem
  • VPS ārējā IP adrese ar marÅ”rutÄ“Å”anas serveri un tuneļa beigu punktu ir 194.165.22.146, ASN 64998; marÅ”rutētāja ārējā IP adrese - 81.177.103.94, ASN 64999
  • IP adreses tunelÄ« ir attiecÄ«gi 172.30.1.1 un 172.30.1.2.

BGP iestatÄ«Å”ana, lai apietu bloÄ·Ä“Å”anu vai "Kā es pārstāju baidÄ«ties un iemÄ«lējos RKN"

Protams, jÅ«s varat izmantot jebkurus citus marÅ”rutētājus, operētājsistēmas un programmatÅ«ras produktus, pielāgojot risinājumu to loÄ£ikai.

ÄŖsumā - risinājuma loÄ£ika

  1. SagatavoŔanas aktivitātes
    1. VPS iegūŔana
    2. Tuneļa pacelÅ”ana no marÅ”rutētāja uz VPS
  2. Mēs saņemam un regulāri atjauninām reģistra kopiju
  3. MarŔrutēŔanas pakalpojuma instalēŔana un konfigurēŔana
  4. Mēs izveidojam statisku marÅ”rutu sarakstu marÅ”rutÄ“Å”anas pakalpojumam, pamatojoties uz reÄ£istru
  5. Mēs savienojam marÅ”rutētāju ar pakalpojumu un konfigurējam visas trafika nosÅ«tÄ«Å”anu caur tuneli.

Faktiskais risinājums

SagatavoŔanas aktivitātes

Internetā ir daudz pakalpojumu, kas nodroÅ”ina VPS par ārkārtÄ«gi saprātÄ«gām cenām. LÄ«dz Å”im esmu atradis un izmantoju iespēju par 9 ASV dolāri gadā, taču pat tad, ja jÅ«s pārāk neuztraucaties, ir daudz iespēju par 1 E/mēnesÄ« uz katra stÅ«ra. Jautājums par VPS izvēli ir tālu ārpus Ŕī raksta darbÄ«bas jomas, tāpēc, ja kāds kaut ko nesaprot, jautājiet komentāros.

Ja izmantojat VPS ne tikai marÅ”rutÄ“Å”anas pakalpojumam, bet arÄ« lai pārtrauktu tajā esoÅ”o tuneli, jums ir jāpaaugstina Å”is tunelis un gandrÄ«z noteikti tam jākonfigurē NAT. Internetā ir liels skaits norādÄ«jumu par Ŕīm darbÄ«bām, es tos Å”eit neatkārtoÅ”u. Galvenā prasÄ«ba Ŕādam tunelim ir tāda, ka tam marÅ”rutētājā ir jāizveido atseviŔķs interfeiss, kas atbalsta tuneli virzienā uz VPS. Lielākā daļa izmantoto VPN tehnoloÄ£iju atbilst Å”ai prasÄ«bai - piemēram, OpenVPN tun režīmā ir ideāls.

Reģistra kopijas iegūŔana

Kā teica Džabrails: "Tas, kas mums traucē, mums palÄ«dzēs." Tā kā RKN veido aizliegto resursu reÄ£istru, bÅ«tu grēks neizmantot Å”o reÄ£istru mÅ«su problēmas risināŔanai. Mēs saņemsim reÄ£istra kopiju no github.

Mēs ejam uz jÅ«su Linux serveri, nonākam saknes kontekstā (sudo su ā€”) un instalējiet git, ja tas vēl nav instalēts.

apt install git

Dodieties uz savu mājas direktoriju un izvelciet reģistra kopiju.

cd ~ && git clone --depth=1 https://github.com/zapret-info/z-i 

Mēs uzstādÄ«jām cron atjauninājumu (es to daru reizi 20 minÅ«tēs, bet jÅ«s varat izvēlēties jebkuru jums interesējoÅ”u intervālu). Lai to izdarÄ«tu, mēs palaižam crontab -e un pievienojiet tam Ŕādu rindu:

*/20 * * * * cd ~/z-i && git pull && git gc

Mēs savienojam āķi, kas pēc reÄ£istra atjaunināŔanas izveidos failus marÅ”rutÄ“Å”anas pakalpojumam. Lai to izdarÄ«tu, izveidojiet failu /root/zi/.git/hooks/post-merge ar Ŕādu saturu:

#!/usr/bin/env bash
changed_files="$(git diff-tree -r --name-only --no-commit-id ORIG_HEAD HEAD)"
check_run() {
    echo "$changed_files" | grep --quiet "$1" && eval "$2"
}
check_run dump.csv "/root/blacklist/makebgp"

un neaizmirstiet padarīt to izpildāmu

chmod +x /root/z-i/.git/hooks/post-merge

Makebgp skriptu, uz kuru atsaucas āķis, izveidosim nedaudz vēlāk.

MarŔrutēŔanas pakalpojuma instalēŔana un konfigurēŔana

Uzstādiet putnu. Diemžēl paÅ”laik Ubuntu krātuvēs ievietotā putna versija pēc svaiguma ir salÄ«dzināma ar Archeopteryx izkārnÄ«jumiem, tāpēc vispirms sistēmai jāpievieno programmatÅ«ras izstrādātāju oficiālais PPA.

add-apt-repository ppa:cz.nic-labs/bird
apt update
apt install bird

Pēc tam mēs nekavējoties atspējojam putnu IPv6 ā€” mums tas nebÅ«s vajadzÄ«gs Å”ajā instalācijā.

systemctl stop bird6
systemctl disable bird6

Zemāk ir minimālistisks putnu pakalpojuma konfigurācijas fails (/etc/bird/bird.conf), ar ko mums pilnīgi pietiek (un vēlreiz atgādinu, ka neviens neaizliedz ideju attīstīt un pieskaņot savām vajadzībām)

log syslog all;
router id 172.30.1.1;

protocol kernel {
        scan time 60;
        import none;
#       export all;   # Actually insert routes into the kernel routing table
}

protocol device {
        scan time 60;
}

protocol direct {
        interface "venet*", "tun*"; # Restrict network interfaces it works with
}

protocol static static_bgp {
        import all;
        include "pfxlist.txt";
        #include "iplist.txt";
}

protocol bgp OurRouter {
        description "Our Router";
        neighbor 81.177.103.94 as 64999;
        import none;
        export where proto = "static_bgp";
        local as 64998;
        passive off;
        multihop;
}

router id - marÅ”rutētāja identifikators, kas vizuāli izskatās pēc IPv4 adreses, bet nav viens. MÅ«su gadÄ«jumā tas var bÅ«t jebkurÅ” 32 bitu skaitlis IPv4 adreses formātā, taču ir laba forma, lai precÄ«zi norādÄ«tu jÅ«su ierÄ«ces (Å”ajā gadÄ«jumā VPS) IPv4 adresi.

Protocol direct nosaka, kuras saskarnes darbosies marÅ”rutÄ“Å”anas procesā. Piemērā ir sniegti pāris piemēru nosaukumi, varat pievienot citus. JÅ«s varat vienkārÅ”i izdzēst rindu; Å”ajā gadÄ«jumā serveris klausÄ«sies visas pieejamās saskarnes ar IPv4 adresi.

Protocol static ir mÅ«su maÄ£ija, kas ielādē prefiksu un IP adreÅ”u sarakstus (kas, protams, faktiski ir /32 prefiksi) no failiem turpmākai paziņoÅ”anai. Tālāk tiks apspriests, no kurienes nāk Å”ie saraksti. LÅ«dzu, ņemiet vērā, ka IP adreÅ”u ielāde pēc noklusējuma tiek komentēta, jo iemesls ir lielais augÅ”upielādes apjoms. SalÄ«dzinājumam raksta rakstÄ«Å”anas laikā prefiksu sarakstā ir 78 rindas, bet IP adreÅ”u sarakstā - 85898. Es ļoti iesaku sākt un atkļūdot tikai prefiksu sarakstā un vai iespējot IP ielādi nākotne ir jÅ«su ziņā pēc eksperimentÄ“Å”anas ar marÅ”rutētāju. Ne katrs no viņiem var viegli sagremot 85 tÅ«kstoÅ”us ierakstu marÅ”rutÄ“Å”anas tabulā.

protokols bgp faktiski iestata bgp peering ar jÅ«su marÅ”rutētāju. IP adrese ir marÅ”rutētāja ārējās saskarnes adrese (vai tuneļa saskarnes adrese marÅ”rutētāja pusē), 64998 un 64999 ir autonomo sistēmu numuri. Å ajā gadÄ«jumā tos var pieŔķirt jebkuru 16 bitu numuru veidā, taču laba prakse ir izmantot AS numurus no privātā diapazona, ko nosaka RFC6996 - 64512-65534 ieskaitot (ir 32 bitu ASN formāts, bet mÅ«su gadÄ«jumā tas noteikti ir pārspÄ«lēts). AprakstÄ«tajā konfigurācijā tiek izmantota eBGP peering, kurā marÅ”rutÄ“Å”anas pakalpojuma un marÅ”rutētāja autonomo sistēmu numuriem ir jābÅ«t atŔķirÄ«giem.

Kā redzat, pakalpojumam ir jāzina marÅ”rutētāja IP adrese, tādēļ, ja jums ir dinamiska vai nemarÅ”rutējama privātā (RFC1918) vai koplietojamā (RFC6598) adrese, jums nav iespējas palielināt peering ārējā tÄ«klā. interfeisu, taču pakalpojums joprojām darbosies tunelÄ«.

Ir arÄ« pilnÄ«gi skaidrs, ka no viena pakalpojuma jÅ«s varat nodroÅ”ināt marÅ”rutus vairākiem dažādiem marÅ”rutētājiem - vienkārÅ”i dublējiet tiem iestatÄ«jumus, nokopējot protokola bgp sadaļu un mainot kaimiņa IP adresi. Tāpēc piemērā kā universālākie ir parādÄ«ti skatÄ«Å”anās ārpus tuneļa iestatÄ«jumi. Tos ir viegli noņemt tunelÄ«, attiecÄ«gi mainot IP adreses iestatÄ«jumos.

Notiek reÄ£istra apstrāde marÅ”rutÄ“Å”anas pakalpojumam

Tagad mums faktiski ir jāizveido prefiksu un IP adreÅ”u saraksti, kas tika minēti protokola statiskā iepriekŔējā posmā. Lai to izdarÄ«tu, mēs paņemam reÄ£istra failu un izveidojam no tā nepiecieÅ”amos failus, izmantojot Ŕādu skriptu, kas ievietots /root/blacklist/makebgp

#!/bin/bash
cut -d";" -f1 /root/z-i/dump.csv| tr '|' 'n' |  tr -d ' ' > /root/blacklist/tmpaddr.txt
cat /root/blacklist/tmpaddr.txt | grep / | sed 's_.*_route & reject;_' > /etc/bird/pfxlist.txt
cat /root/blacklist/tmpaddr.txt | sort | uniq | grep -Eo "([0-9]{1,3}[.]){3}[0-9]{1,3}" | sed 's_.*_route &/32 reject;_' > /etc/bird/iplist.txt
/etc/init.d/bird reload
logger 'bgp list compiled'

Neaizmirstiet padarīt to izpildāmu

chmod +x /root/blacklist/makebgp

Tagad varat to palaist manuāli un novērot failu izskatu mapē /etc/bird.

Visticamāk, putns Å”obrÄ«d jums nedarbojas, jo iepriekŔējā posmā jÅ«s lÅ«dzāt tam meklēt failus, kas vēl neeksistēja. Tāpēc mēs to palaižam un pārbaudām, vai tas ir palaists:

systemctl start bird
birdc show route

Otrās komandas izvadei vajadzētu parādÄ«t apmēram 80 ierakstus (pagaidām tas ir, bet, kad to iestatÄ«sit, viss bÅ«s atkarÄ«gs no RKN dedzÄ«bas bloķējot tÄ«klus) apmēram Ŕādi:

54.160.0.0/12      unreachable [static_bgp 2018-04-19] * (200)

Komanda

birdc show protocol

parādÄ«s pakalpojuma protokolu statusu. Kamēr nebÅ«siet konfigurējis marÅ”rutētāju (skatiet nākamo punktu), OurRouter protokols bÅ«s sākuma stāvoklÄ« (Connect vai Active) un pēc veiksmÄ«ga savienojuma izveidoÅ”anas pāries uz augÅ”u (Izveidotā fāze). Piemēram, manā sistēmā Ŕīs komandas izvade izskatās Ŕādi:

BIRD 1.6.3 ready.
name     proto    table    state  since       info
kernel1  Kernel   master   up     2018-04-19
device1  Device   master   up     2018-04-19
static_bgp Static   master   up     2018-04-19
direct1  Direct   master   up     2018-04-19
RXXXXXx1 BGP      master   up     13:10:22    Established
RXXXXXx2 BGP      master   up     2018-04-24  Established
RXXXXXx3 BGP      master   start  2018-04-22  Connect       Socket: Connection timed out
RXXXXXx4 BGP      master   up     2018-04-24  Established
RXXXXXx5 BGP      master   start  2018-04-24  Passive

MarÅ”rutētāja pievienoÅ”ana

Visiem droÅ”i vien ir apnicis lasÄ«t Å”o kāju lupatu, bet esiet droÅ”s - beigas ir tuvu. Turklāt Å”ajā sadaļā es nevarÄ“Å”u sniegt soli pa solim instrukcijas - katram ražotājam tas bÅ«s atŔķirÄ«gs.

Tomēr es varu jums parādÄ«t pāris piemērus. Galvenā loÄ£ika ir palielināt BGP peering un pieŔķirt nexthop visiem saņemtajiem prefiksiem, norādot uz mÅ«su tuneli (ja mums ir jānosÅ«ta trafika caur p2p interfeisu) vai nexthop IP adresi, ja satiksme tiks novirzÄ«ta uz Ethernet).

Piemēram, Mikrotik sistēmā RouterOS tas tiek atrisināts Ŕādi

/routing bgp instance set default as=64999 ignore-as-path-len=yes router-id=172.30.1.2
/routing bgp peer add in-filter=dynamic-in multihop=yes name=VPS remote-address=194.165.22.146 remote-as=64998 ttl=default
/routing filter add action=accept chain=dynamic-in protocol=bgp comment="Set nexthop" set-in-nexthop=172.30.1.1

un Cisco IOS - kā Ŕis

router bgp 64999
  neighbor 194.165.22.146 remote-as 64998
  neighbor 194.165.22.146 route-map BGP_NEXT_HOP in
  neighbor 194.165.22.146 ebgp-multihop 250
!
route-map BGP_NEXT_HOP permit 10
  set ip next-hop 172.30.1.1

Ja vienu un to paŔu tuneli izmanto gan BGP peering, gan noderīgas trafika pārsūtīŔanai, nav nepiecieŔams iestatīt nexthop, tas tiks iestatīts pareizi, izmantojot protokolu. Bet, ja to iestatīsit manuāli, tas arī nepasliktinās.

Citās platformās konfigurācija bÅ«s jāizdomā paÅ”am, bet ja ir kādas grÅ«tÄ«bas, rakstiet komentāros, mēģināŔu palÄ«dzēt.

Kad jÅ«su BGP sesija ir sākusies, marÅ”ruti uz lielajiem tÄ«kliem ir ieraduÅ”ies un ir uzstādÄ«ti tabulā, satiksme no tiem ir plÅ«dusi uz adresēm un laime ir tuvu, varat atgriezties putnu servisā un mēģināt atkomentēt ierakstu, kas savieno IP adreÅ”u sarakstu, izpildiet pēc tam

systemctl reload bird

un skatiet, kā jÅ«su marÅ”rutētājs pārsÅ«tÄ«ja Å”os 85 tÅ«kstoÅ”us marÅ”rutu. Esiet gatavs atvienot un domāt, ko ar to darÄ«t :)

Kopā

TÄ«ri teorētiski pēc iepriekÅ” aprakstÄ«to darbÄ«bu veikÅ”anas jums tagad ir pakalpojums, kas automātiski novirza trafiku uz IP adresēm, kuras ir aizliegtas Krievijas Federācijā, pārsniedzot filtrÄ“Å”anas sistēmu.

To, protams, var uzlabot. Piemēram, ir diezgan viegli apkopot IP adreÅ”u sarakstu, izmantojot perl vai python risinājumus. VienkārÅ”s Perl skripts, kas to dara, izmantojot Net::CIDR::Lite, pārvērÅ” 85 tÅ«kstoÅ”us prefiksu par 60 (nevis tÅ«kstoÅ”os), bet, protams, aptver daudz lielāku adreÅ”u diapazonu, nekā tiek bloķēts.

Tā kā pakalpojums darbojas ISO/OSI modeļa treÅ”ajā lÄ«menÄ«, tas nepasargās jÅ«s no vietnes/lapas bloÄ·Ä“Å”anas, ja tas atrisinās uz nepareizo adresi, kas reÄ£istrēta reÄ£istrā. Taču kopā ar reÄ£istru no github atnāk fails nxdomain.txt, kas ar dažiem skripta sitieniem viegli pārvērÅ”as par adreÅ”u avotu, piemēram, pārlÅ«kprogrammas Chrome spraudnim SwitchyOmega.

Jāpiemin arÄ« tas, ka risinājums prasa papildu precizējumus, ja neesat tikai interneta lietotājs, bet arÄ« pats publicējat dažus resursus (piemēram, uz Ŕī savienojuma darbojas vietne vai pasta serveris). Izmantojot marÅ”rutētāja lÄ«dzekļus, ir stingri jāsaista Ŕī pakalpojuma izejoŔā trafika ar savu publisko adresi, pretējā gadÄ«jumā jÅ«s zaudēsit savienojumu ar tiem resursiem, uz kuriem attiecas marÅ”rutētāja saņemto prefiksu saraksts.

Ja ir kādi jautājumi, jautājiet, esmu gatavs atbildēt.

UPD. Paldies navigācija Šø TerAnYu git parametriem, kas ļauj samazināt lejupielādes apjomu.

UPD2. Kolēģi, izskatās, ka esmu kļūdÄ«jies, rakstam nepievienojot instrukcijas tuneļa izveidoÅ”anai starp VPS un rÅ«teri. Tas rada daudz jautājumu.
Katram gadÄ«jumam vēlreiz atzÄ«mÄ“Å”u, ka pirms Ŕīs rokasgrāmatas sākÅ”anas jÅ«s jau esat konfigurējis VPN tuneli sev vajadzÄ«gajā virzienā un pārbaudÄ«jis tā funkcionalitāti (piemēram, pēc noklusējuma vai statiski pagriežot tur satiksmi). Ja vēl neesat pabeidzis Å”o posmu, nav jēgas sekot rakstā norādÄ«tajām darbÄ«bām. Man vēl nav sava teksta par Å”o, bet, ja jÅ«s Google meklējat ā€œOpenVPN servera iestatÄ«Å”anaā€ kopā ar VPS instalētās operētājsistēmas nosaukumu un ā€œOpenVPN klienta iestatÄ«Å”anaā€ ar marÅ”rutētāja nosaukumu , jÅ«s, visticamāk, atradÄ«sit vairākus rakstus par Å”o tēmu , tostarp par HabrĆ©.

UPD3. Neupurēts Es uzrakstÄ«ju kodu, kas pārvērÅ” dump.csv par iegÅ«to failu putnam ar neobligātu IP adreÅ”u kopsavilkumu. Tāpēc sadaļu ā€œReÄ£istra apstrāde marÅ”rutÄ“Å”anas pakalpojumamā€ var aizstāt, izsaucot tā programmu. https://habr.com/post/354282/#comment_10782712

UPD4. Nedaudz piestrādāt pie kļūdām (tekstam tās nepievienoju):
1) vietā systemctl pārlādēt putnu ir jēga izmantot komandu birdc konfigurÄ“Å”ana.
2) Mikrotik marÅ”rutētājā, nevis nomainÄ«t nexthop uz tuneļa otrās puses IP /routing filter add action=accept chain=dynamic-in protocol=bgp comment=Ā»IestatÄ«t nexthopĀ» set-in-nexthop=172.30.1.1 ir jēga norādÄ«t marÅ”rutu tieÅ”i tuneļa saskarnē, bez adreses /routing filter add action=accept chain=dynamic-in protocol=bgp comment=Ā»IestatÄ«t nexthopĀ» set-in-nexthop-direct=<interfeisa nosaukums>

UPD5. Ir parādÄ«jies jauns pakalpojums https://antifilter.download, no kurienes var paņemt gatavus IP adreÅ”u sarakstus. Atjaunināts ik pēc pusstundas. Klienta pusē atliek tikai ierāmēt ierakstus ar atbilstoÅ”o ā€œmarÅ”ruts... noraidÄ«tā€.
Un Å”ajā brÄ«dÄ«, iespējams, pietiek ar vecmāmiņas lupatu un raksta atjaunināŔanu.

UPD6. Raksta pārskatÄ«ta versija tiem, kas nevēlas to izdomāt, bet vēlas sākt - Å”eit.

Avots: www.habr.com

Pievieno komentāru