Iptables и филтрирање на сообраќајот од сиромашни и мрзливи дисиденти

Релевантноста на блокирањето посети на забранети ресурси влијае на секој администратор кој може официјално да биде обвинет за непочитување на законот или наредбите на релевантните органи.

Зошто повторно да го измислиме тркалото кога има специјализирани програми и дистрибуции за нашите задачи, на пример: Zeroshell, pfSense, ClearOS.

Менаџментот имаше уште едно прашање: Дали користениот производ има безбедносен сертификат од нашата држава?

Имавме искуство со работа со следните дистрибуции:

• Zeroshell - програмерите дури донираа 2-годишна лиценца, но се покажа дека комплетот за дистрибуција за кој бевме заинтересирани, нелогично, извршуваше критична функција за нас;
• pfSense - почит и чест, во исто време досадно, навикнување на командната линија на заштитниот ѕид на FreeBSD и недоволно погодно за нас (мислам дека тоа е прашање на навика, но се покажа дека е погрешен начин);
• ClearOS - на нашиот хардвер се покажа дека е многу бавен, не можевме да дојдеме до сериозно тестирање, па зошто толку тешки интерфејси?
• Идеко СЕЛЕКТА. Производот Ideco е посебен муабет, интересен производ, но од политички причини не за нас, а сакам и да ги „гризам“ за лиценцата за истиот Linux, Roundcube итн. Од каде ја добија идејата дека со сечење на интерфејсот во Пајтон и со одземање на правата на суперкорисниците, тие можат да продадат готов производ составен од развиени и модифицирани модули од Интернет заедницата дистрибуирани под GPL&etn.

Разбирам дека сега негативни извици ќе се слеваат во моја насока со барања детално да ги поткрепат моите субјективни чувства, но сакам да кажам дека овој мрежен јазол е исто така балансер на сообраќај за 4 надворешни канали кон Интернет, а секој канал има свои карактеристики. . Друг камен-темелник беше потребата еден од неколкуте мрежни интерфејси да работи во различни адресни простори, и јас подготвени признајте дека VLAN може да се користат насекаде каде што е потребно, а не е потребно не е подготвен. Постојат уреди кои се користат како TP-Link TL-R480T+ - тие не се однесуваат совршено, генерално, со свои нијанси. Беше можно да се конфигурира овој дел на Linux благодарение на официјалната веб-страница на Ubuntu Балансирање на IP: комбинирање на неколку интернет канали во еден. Покрај тоа, секој од каналите може да „падне“ во секој момент, како и да се крене. Ако сте заинтересирани за скрипта што моментално работи (а вреди да се објави посебна), напишете ги во коментарите.

Решението што се разгледува не тврди дека е единствено, но би сакал да го поставам прашањето: „Зошто претпријатието треба да се прилагоди на сомнителни производи од трети страни со сериозни хардверски барања кога може да се разгледа алтернативна опција?

Ако во Руската Федерација постои список на Роскомнадзор, во Украина има анекс на Одлуката на Советот за национална безбедност (на пример. тука), тогаш ниту локалните лидери не спијат. На пример, ни беше даден список на забранети локации кои, според мислењето на раководството, ја нарушуваат продуктивноста на работното место.

Комуницирајќи со колегите во други претпријатија, каде стандардно сите страници се забранети и само по барање со дозвола на шефот можете да пристапите на одредена локација, насмевнувајќи се со почит, размислувајќи и „пушејќи го проблемот“, дојдовме до разбирање дека животот сè уште е добро и ја започнавме нивната потрага.

Имајќи можност не само аналитички да видиме што пишуваат во „книгите за домаќинки“ за филтрирање сообраќај, туку и да видиме што се случува на каналите на различни провајдери, ги забележавме следните рецепти (секоја слика од екранот е малку исечена, ве молиме разберете ):

Давател 1
— не се мачи и наметнува свои DNS сервери и транспарентен прокси-сервер. Па?.. но имаме пристап до каде ни треба (ако ни треба :))

Давател 2
- верува дека неговиот врвен провајдер треба да размисли за ова, техничката поддршка на врвниот провајдер дури и призна зошто не можев да ја отворам страницата што ми требаше, што не беше забрането. Мислам дека сликата ќе ве забавува :)

Како што се испостави, тие ги преведуваат имињата на забранетите страници во IP адреси и ја блокираат самата IP (не им пречи фактот што оваа IP адреса може да биде домаќин на 20 страници).

Давател 3
— дозволува сообраќајот да оди таму, но не дозволува враќање по трасата.

Давател 4
— ги забранува сите манипулации со пакети во наведената насока.

Што да направите со VPN (почитување на прелистувачот Opera) и приклучоците за прелистувач? Играјќи со јазолот Mikrotik на почетокот, добивме дури и рецепт кој бара ресурси за L7, кој подоцна моравме да го напуштиме (можеби има повеќе забранети имиња, станува тажно кога, покрај неговите директни одговорности за рути, на 3 дузина изрази, оптоварувањето на процесорот PPC460GT оди до 100 %).

.

Што стана јасно:
DNS на 127.0.0.1 апсолутно не е лек; современите верзии на прелистувачи сè уште ви дозволуваат да ги заобиколите ваквите проблеми. Невозможно е да се ограничат сите корисници на намалени права и не смееме да заборавиме на огромниот број на алтернативни DNS. Интернетот не е статичен и покрај новите DNS адреси, забранетите сајтови купуваат нови адреси, менуваат домени од највисоко ниво и можат да додаваат/отстранат знак од нивната адреса. Но, сепак има право да живее нешто како:

ip route add blackhole 1.2.3.4

Би било доста ефикасно да се добие список со IP адреси од списокот на забранети страници, но од причините наведени погоре, преминавме на размислувања за Iptables. Веќе имаше жив балансер на CentOS Linux изданието 7.5.1804.

Интернетот на корисникот треба да биде брз, а Прелистувачот не треба да чека половина минута, заклучувајќи дека оваа страница не е достапна. По долго пребарување дојдовме до овој модел:
Датотека 1 -> /script/denied_host, список на забранети имиња:

test.test
blablabla.bubu
torrent
porno

Датотека 2 -> /script/denied_range, список на забранети адресни простори и адреси:

192.168.111.0/24
241.242.0.0/16

Скрипта датотека 3 -> ipt.shизвршување на работата со ipables:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

Употребата на sudo се должи на тоа што имаме мал хак за контрола преку WEB интерфејсот, но како што покажа искуството во користењето на таков модел повеќе од една година, WEB не е толку потребен. По имплементацијата, се појави желба да се додаде список на локации во базата на податоци, итн. Бројот на блокирани хостови е повеќе од 250 + десетина адресни простори. Навистина има проблем кога одам на страница преку https конекција, како системскиот администратор, имам поплаки за прелистувачи :), но тоа се посебни случаи, повеќето од предизвикувачите за недостиг на пристап до ресурсот се сè уште на наша страна , исто така успешно го блокираме Opera VPN и додатоците како friGate и телеметрија од Microsoft.

Извор: www.habr.com