പാവപ്പെട്ടവരും അലസരുമായ ഭിന്നശേഷിക്കാരിൽ നിന്നുള്ള ഇപ്‌റ്റബിളുകളും ഫിൽട്ടറിംഗ് ട്രാഫിക്കും

നിരോധിത ഉറവിടങ്ങളിലേക്കുള്ള സന്ദർശനങ്ങൾ തടയുന്നതിന്റെ പ്രസക്തി, ബന്ധപ്പെട്ട അധികാരികളുടെ നിയമമോ ഉത്തരവുകളോ പാലിക്കുന്നതിൽ പരാജയപ്പെട്ടതിന് ഔദ്യോഗികമായി കുറ്റം ചുമത്തപ്പെട്ടേക്കാവുന്ന ഏതൊരു അഡ്മിനിസ്ട്രേറ്ററെയും ബാധിക്കുന്നു.

ഞങ്ങളുടെ ടാസ്‌ക്കുകൾക്കായി പ്രത്യേക പ്രോഗ്രാമുകളും വിതരണങ്ങളും ഉള്ളപ്പോൾ എന്തിനാണ് ചക്രം പുനർനിർമ്മിക്കുന്നത്, ഉദാഹരണത്തിന്: Zeroshell, pfSense, ClearOS.

മാനേജ്മെന്റിന് മറ്റൊരു ചോദ്യം ഉണ്ടായിരുന്നു: ഉപയോഗിച്ച ഉൽപ്പന്നത്തിന് നമ്മുടെ സംസ്ഥാനത്ത് നിന്നുള്ള സുരക്ഷാ സർട്ടിഫിക്കറ്റ് ഉണ്ടോ?

ഇനിപ്പറയുന്ന വിതരണങ്ങളിൽ പ്രവർത്തിച്ച പരിചയം ഞങ്ങൾക്ക് ഉണ്ടായിരുന്നു:

• സീറോഷെൽ - ഡവലപ്പർമാർ 2 വർഷത്തെ ലൈസൻസ് പോലും സംഭാവന ചെയ്തു, പക്ഷേ ഞങ്ങൾക്ക് താൽപ്പര്യമുള്ള വിതരണ കിറ്റ് യുക്തിരഹിതമായി ഞങ്ങൾക്ക് ഒരു നിർണായക പ്രവർത്തനം നടത്തി;
• pfSense - ബഹുമാനവും ബഹുമാനവും, അതേ സമയം ബോറടിക്കുന്നു, FreeBSD ഫയർവാളിന്റെ കമാൻഡ് ലൈനുമായി പൊരുത്തപ്പെടുന്നു, ഞങ്ങൾക്ക് വേണ്ടത്ര സൗകര്യപ്രദമല്ല (ഇത് ഒരു ശീലമാണെന്ന് ഞാൻ കരുതുന്നു, പക്ഷേ അത് തെറ്റായ വഴിയായി മാറി);
• ClearOS - ഞങ്ങളുടെ ഹാർഡ്‌വെയറിൽ ഇത് വളരെ മന്ദഗതിയിലായി, ഞങ്ങൾക്ക് ഗുരുതരമായ പരിശോധനയിൽ പ്രവേശിക്കാൻ കഴിഞ്ഞില്ല, എന്തുകൊണ്ടാണ് അത്തരം കനത്ത ഇന്റർഫേസുകൾ?
• Ideco SELECTA. Ideco ഉൽപ്പന്നം ഒരു പ്രത്യേക സംഭാഷണമാണ്, രസകരമായ ഒരു ഉൽപ്പന്നമാണ്, പക്ഷേ രാഷ്ട്രീയ കാരണങ്ങളാൽ ഞങ്ങൾക്ക് വേണ്ടിയല്ല, അതേ Linux, Roundcube മുതലായവയ്ക്കുള്ള ലൈസൻസിനെക്കുറിച്ച് അവരെ "കടിക്കാൻ" ഞാൻ ആഗ്രഹിക്കുന്നു. ഇന്റർഫേസ് മുറിച്ചുകൊണ്ട് അവർക്ക് എവിടെ നിന്നാണ് ആശയം ലഭിച്ചത് പൈത്തൺ സൂപ്പർ യൂസർ അവകാശങ്ങൾ എടുത്തുകളയുന്നതിലൂടെ, GPL&etc-ന് കീഴിൽ വിതരണം ചെയ്യുന്ന ഇന്റർനെറ്റ് കമ്മ്യൂണിറ്റിയിൽ നിന്ന് വികസിപ്പിച്ചതും പരിഷ്കരിച്ചതുമായ മൊഡ്യൂളുകൾ കൊണ്ട് നിർമ്മിച്ച ഒരു പൂർത്തിയായ ഉൽപ്പന്നം അവർക്ക് വിൽക്കാൻ കഴിയും.

എന്റെ ആത്മനിഷ്ഠ വികാരങ്ങൾ വിശദമായി തെളിയിക്കാനുള്ള ആവശ്യങ്ങളോടെ നെഗറ്റീവ് ആശ്ചര്യങ്ങൾ എന്റെ ദിശയിലേക്ക് ഒഴുകുമെന്ന് ഞാൻ മനസ്സിലാക്കുന്നു, എന്നാൽ ഈ നെറ്റ്‌വർക്ക് നോഡ് ഇൻറർനെറ്റിലേക്കുള്ള 4 ബാഹ്യ ചാനലുകൾക്കുള്ള ഒരു ട്രാഫിക് ബാലൻസറും ആണെന്ന് ഞാൻ പറയാൻ ആഗ്രഹിക്കുന്നു, ഓരോ ചാനലിനും അതിന്റേതായ സവിശേഷതകളുണ്ട്. . വ്യത്യസ്‌ത അഡ്രസ് സ്‌പെയ്‌സുകളിൽ പ്രവർത്തിക്കാൻ നിരവധി നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകളിലൊന്നിന്റെ ആവശ്യകതയായിരുന്നു മറ്റൊരു മൂലക്കല്ല്, കൂടാതെ ഐ തയ്യാറാണ് ആവശ്യമുള്ളതും ആവശ്യമില്ലാത്തതുമായ എല്ലായിടത്തും VLAN-കൾ ഉപയോഗിക്കാമെന്ന് സമ്മതിക്കുക തയ്യാറല്ല. TP-Link TL-R480T+ പോലുള്ള ഉപകരണങ്ങൾ ഉപയോഗത്തിലുണ്ട് - അവ പൊതുവേ, സ്വന്തം സൂക്ഷ്മതകളോടെ പൂർണ്ണമായും പെരുമാറുന്നില്ല. ഉബുണ്ടു ഔദ്യോഗിക വെബ്‌സൈറ്റിന് നന്ദി പറഞ്ഞ് ലിനക്സിൽ ഈ ഭാഗം കോൺഫിഗർ ചെയ്യാൻ സാധിച്ചു ഐപി ബാലൻസിംഗ്: നിരവധി ഇന്റർനെറ്റ് ചാനലുകൾ ഒന്നായി സംയോജിപ്പിക്കുക. മാത്രമല്ല, ഓരോ ചാനലുകൾക്കും ഏത് നിമിഷവും "വീഴാം", അതുപോലെ ഉയരും. നിലവിൽ പ്രവർത്തിക്കുന്ന ഒരു സ്ക്രിപ്റ്റിൽ നിങ്ങൾക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ (ഇത് ഒരു പ്രത്യേക പ്രസിദ്ധീകരണത്തിന് അർഹമാണ്), അഭിപ്രായങ്ങളിൽ എഴുതുക.

പരിഗണനയിലുള്ള പരിഹാരം അദ്വിതീയമാണെന്ന് അവകാശപ്പെടുന്നില്ല, പക്ഷേ ഞാൻ ഒരു ചോദ്യം ചോദിക്കാൻ ആഗ്രഹിക്കുന്നു: "ഒരു ബദൽ ഓപ്ഷൻ പരിഗണിക്കുമ്പോൾ ഗുരുതരമായ ഹാർഡ്‌വെയർ ആവശ്യകതകളുള്ള ഒരു എന്റർപ്രൈസ് മൂന്നാം കക്ഷി സംശയാസ്പദമായ ഉൽപ്പന്നങ്ങളുമായി പൊരുത്തപ്പെടേണ്ടത് എന്തുകൊണ്ട്?"

റഷ്യൻ ഫെഡറേഷനിൽ റോസ്കോംനാഡ്സോറിന്റെ ഒരു ലിസ്റ്റ് ഉണ്ടെങ്കിൽ, ഉക്രെയ്നിൽ ദേശീയ സുരക്ഷാ കൗൺസിലിന്റെ തീരുമാനത്തിന് ഒരു അനുബന്ധമുണ്ട് (ഉദാഹരണത്തിന്. നോക്കൂ), അപ്പോൾ പ്രാദേശിക നേതാക്കളും ഉറങ്ങുന്നില്ല. ഉദാഹരണത്തിന്, മാനേജ്മെന്റിന്റെ അഭിപ്രായത്തിൽ, ജോലിസ്ഥലത്തെ ഉൽപ്പാദനക്ഷമതയെ തടസ്സപ്പെടുത്തുന്ന നിരോധിത സൈറ്റുകളുടെ ഒരു ലിസ്റ്റ് ഞങ്ങൾക്ക് നൽകിയിട്ടുണ്ട്.

സ്ഥിരസ്ഥിതിയായി എല്ലാ സൈറ്റുകളും നിരോധിച്ചിരിക്കുന്ന മറ്റ് സംരംഭങ്ങളിലെ സഹപ്രവർത്തകരുമായി ആശയവിനിമയം നടത്തുമ്പോൾ, ബോസിന്റെ അനുമതിയോടെ മാത്രമേ നിങ്ങൾക്ക് ഒരു നിർദ്ദിഷ്ട സൈറ്റ് ആക്സസ് ചെയ്യാൻ കഴിയൂ, മാന്യമായി പുഞ്ചിരിച്ചും, ചിന്തിച്ചും "പ്രശ്നത്തെക്കുറിച്ച് പുകവലിച്ചും", ഞങ്ങൾ ജീവിതത്തെ മനസ്സിലാക്കി. ഇപ്പോഴും നല്ലതാണ്, ഞങ്ങൾ അവരുടെ തിരയൽ ആരംഭിച്ചു.

ട്രാഫിക് ഫിൽട്ടറിംഗിനെക്കുറിച്ച് “വീട്ടമ്മമാരുടെ പുസ്തകങ്ങളിൽ” അവർ എന്താണ് എഴുതുന്നതെന്ന് വിശകലനപരമായി കാണാനുള്ള അവസരം മാത്രമല്ല, വ്യത്യസ്ത ദാതാക്കളുടെ ചാനലുകളിൽ എന്താണ് സംഭവിക്കുന്നതെന്ന് കാണാനും ഞങ്ങൾ ഇനിപ്പറയുന്ന പാചകക്കുറിപ്പുകൾ ശ്രദ്ധിച്ചു (ഏത് സ്ക്രീൻഷോട്ടുകളും അല്പം മുറിച്ചതാണ്, ദയവായി ചോദിക്കുമ്പോൾ മനസ്സിലാക്കുക):

ദാതാവ് 1
— ബുദ്ധിമുട്ടിക്കുന്നില്ല, സ്വന്തം DNS സെർവറുകളും സുതാര്യമായ പ്രോക്സി സെർവറും അടിച്ചേൽപ്പിക്കുന്നു. ശരി?.. എന്നാൽ ഞങ്ങൾക്ക് ആവശ്യമുള്ളിടത്തേക്ക് ഞങ്ങൾക്ക് ആക്സസ് ഉണ്ട് (ഞങ്ങൾക്ക് അത് ആവശ്യമെങ്കിൽ :))

ദാതാവ് 2
- തന്റെ മുൻനിര ദാതാവ് ഇതിനെക്കുറിച്ച് ചിന്തിക്കണമെന്ന് വിശ്വസിക്കുന്നു, എനിക്ക് ആവശ്യമായ സൈറ്റ് എന്തുകൊണ്ട് തുറക്കാൻ കഴിഞ്ഞില്ല എന്ന് മുൻനിര ദാതാവിന്റെ സാങ്കേതിക പിന്തുണ പോലും സമ്മതിച്ചു, അത് നിരോധിച്ചിട്ടില്ല. ചിത്രം നിങ്ങളെ രസിപ്പിക്കുമെന്ന് ഞാൻ കരുതുന്നു :)

അവർ നിരോധിത സൈറ്റുകളുടെ പേരുകൾ ഐപി വിലാസങ്ങളിലേക്ക് വിവർത്തനം ചെയ്യുകയും ഐപി തന്നെ തടയുകയും ചെയ്യുന്നു (ഈ ഐപി വിലാസത്തിന് 20 സൈറ്റുകൾ ഹോസ്റ്റ് ചെയ്യാൻ കഴിയുമെന്നത് അവരെ വിഷമിപ്പിക്കുന്നില്ല).

ദാതാവ് 3
— ട്രാഫിക്കിനെ അവിടേക്ക് പോകാൻ അനുവദിക്കുന്നു, പക്ഷേ റൂട്ടിൽ തിരികെ അനുവദിക്കുന്നില്ല.

ദാതാവ് 4
- നിർദ്ദിഷ്ട ദിശയിൽ പാക്കറ്റുകൾ ഉപയോഗിച്ച് എല്ലാ കൃത്രിമത്വങ്ങളും നിരോധിക്കുന്നു.

VPN (ഓപ്പറ ബ്രൗസറുമായി ബന്ധപ്പെട്ട്), ബ്രൗസർ പ്ലഗിന്നുകൾ എന്നിവയിൽ എന്തുചെയ്യണം? ആദ്യം Mikrotik എന്ന നോഡ് ഉപയോഗിച്ച് കളിക്കുമ്പോൾ, ഞങ്ങൾക്ക് L7-നുള്ള ഒരു റിസോഴ്‌സ്-ഇന്റൻസീവ് പാചകക്കുറിപ്പ് പോലും ലഭിച്ചു, അത് പിന്നീട് ഞങ്ങൾക്ക് ഉപേക്ഷിക്കേണ്ടിവന്നു (കൂടുതൽ നിരോധിത പേരുകൾ ഉണ്ടാകാം, റൂട്ടുകൾക്കായുള്ള അതിന്റെ നേരിട്ടുള്ള ഉത്തരവാദിത്തങ്ങൾക്ക് പുറമേ, 3 ഡസനുകളിൽ അത് സങ്കടകരമാണ്. എക്സ്പ്രഷനുകൾ PPC460GT പ്രോസസർ ലോഡ് 100 % വരെ പോകുന്നു).

.

എന്താണ് വ്യക്തമായത്:
127.0.0.1-ലെ DNS തികച്ചും ഒരു പരിഭ്രാന്തി അല്ല; ബ്രൗസറുകളുടെ ആധുനിക പതിപ്പുകൾ ഇപ്പോഴും അത്തരം പ്രശ്നങ്ങൾ മറികടക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. എല്ലാ ഉപയോക്താക്കളെയും കുറച്ച അവകാശങ്ങളിലേക്ക് പരിമിതപ്പെടുത്തുന്നത് അസാധ്യമാണ്, കൂടാതെ ബദൽ ഡിഎൻഎസിന്റെ വലിയ സംഖ്യയെക്കുറിച്ച് നാം മറക്കരുത്. ഇന്റർനെറ്റ് സ്ഥിരമല്ല, കൂടാതെ പുതിയ DNS വിലാസങ്ങൾക്ക് പുറമേ, നിരോധിത സൈറ്റുകൾ പുതിയ വിലാസങ്ങൾ വാങ്ങുകയും ഉയർന്ന തലത്തിലുള്ള ഡൊമെയ്‌നുകൾ മാറ്റുകയും അവരുടെ വിലാസത്തിൽ ഒരു പ്രതീകം ചേർക്കുക/നീക്കം ചെയ്യുകയും ചെയ്യാം. എന്നാൽ ഇപ്പോഴും ഇതുപോലുള്ള എന്തെങ്കിലും ജീവിക്കാൻ അവകാശമുണ്ട്:

ip route add blackhole 1.2.3.4

നിരോധിത സൈറ്റുകളുടെ ലിസ്റ്റിൽ നിന്ന് IP വിലാസങ്ങളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കുന്നത് വളരെ ഫലപ്രദമായിരിക്കും, എന്നാൽ മുകളിൽ പറഞ്ഞ കാരണങ്ങളാൽ ഞങ്ങൾ Iptables-നെക്കുറിച്ചുള്ള പരിഗണനകളിലേക്ക് നീങ്ങി. CentOS Linux റിലീസ് 7.5.1804-ൽ ഇതിനകം ഒരു ലൈവ് ബാലൻസർ ഉണ്ടായിരുന്നു.

ഉപയോക്താവിന്റെ ഇന്റർനെറ്റ് വേഗതയേറിയതായിരിക്കണം, കൂടാതെ ഈ പേജ് ലഭ്യമല്ല എന്ന നിഗമനത്തിൽ ബ്രൗസർ അര മിനിറ്റ് കാത്തിരിക്കരുത്. ഒരു നീണ്ട തിരച്ചിലിന് ശേഷം ഞങ്ങൾ ഈ മോഡലിലേക്ക് എത്തി:
ഫയൽ 1 -> /script/denied_host, നിരോധിത പേരുകളുടെ പട്ടിക:

test.test
blablabla.bubu
torrent
porno

ഫയൽ 2 -> /സ്ക്രിപ്റ്റ്/denied_range, നിരോധിത വിലാസ സ്പെയ്സുകളുടെയും വിലാസങ്ങളുടെയും ലിസ്റ്റ്:

192.168.111.0/24
241.242.0.0/16

സ്ക്രിപ്റ്റ് ഫയൽ 3 -> ipt.shipables ഉപയോഗിച്ച് ജോലി ചെയ്യുന്നു:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

WEB ഇന്റർഫേസ് വഴി കൈകാര്യം ചെയ്യുന്നതിന് ഞങ്ങൾക്ക് ഒരു ചെറിയ ഹാക്ക് ഉള്ളതിനാലാണ് സുഡോയുടെ ഉപയോഗം, എന്നാൽ ഒരു വർഷത്തിലേറെയായി അത്തരമൊരു മോഡൽ ഉപയോഗിക്കുന്നതിൽ അനുഭവം കാണിക്കുന്നത് പോലെ, WEB അത്ര ആവശ്യമില്ല. നടപ്പിലാക്കിയ ശേഷം, ഡാറ്റാബേസിലേക്ക് സൈറ്റുകളുടെ ഒരു ലിസ്റ്റ് ചേർക്കാൻ ആഗ്രഹമുണ്ടായിരുന്നു. ബ്ലോക്ക് ചെയ്‌ത ഹോസ്റ്റുകളുടെ എണ്ണം 250-ലധികം + ഒരു ഡസനോളം വിലാസ സ്‌പെയ്‌സുകളാണ്. ഒരു https കണക്ഷൻ വഴി ഒരു സൈറ്റിലേക്ക് പോകുമ്പോൾ ശരിക്കും ഒരു പ്രശ്നമുണ്ട്, സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർ പോലെ, എനിക്ക് ബ്രൗസറുകളെക്കുറിച്ച് പരാതികളുണ്ട് :), എന്നാൽ ഇവ പ്രത്യേക കേസുകളാണ്, റിസോഴ്സിലേക്കുള്ള ആക്സസ് ഇല്ലാത്തതിന്റെ മിക്ക ട്രിഗറുകളും ഇപ്പോഴും ഞങ്ങളുടെ ഭാഗത്താണ്. , ഞങ്ങൾ Opera VPN-നെയും Microsoft-ൽ നിന്നുള്ള ഫ്രിഗേറ്റ്, ടെലിമെട്രി പോലുള്ള പ്ലഗിന്നുകളും വിജയകരമായി തടയുന്നു.

അവലംബം: www.habr.com