നമുക്ക് ഏജന്റുമാരെ കണക്കാക്കാം "ഇൻസ്പെക്ടർ"

റഷ്യയിലെ നിരോധിത വിവരങ്ങളുടെ പട്ടികയിൽ തടയുന്നതിനുള്ള നിയന്ത്രണം ഓട്ടോമേറ്റഡ് സിസ്റ്റം "ഇൻസ്പെക്ടർ" നിരീക്ഷിക്കുന്നത് രഹസ്യമല്ല. ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നതിൽ നന്നായി എഴുതിയിട്ടുണ്ട് ഹബറിനെക്കുറിച്ചുള്ള ലേഖനം, അതേ സ്ഥലത്ത് നിന്നുള്ള ചിത്രം:

ദാതാവിൽ നേരിട്ട് ഇൻസ്റ്റാൾ ചെയ്തു മൊഡ്യൂൾ "ഏജന്റ് ഇൻസ്പെക്ടർ":

"ഏജന്റ് ഇൻസ്പെക്ടർ" മൊഡ്യൂൾ ഓട്ടോമേറ്റഡ് സിസ്റ്റമായ "ഇൻസ്പെക്ടർ" (AS "ഇൻസ്പെക്ടർ") ഘടനാപരമായ ഘടകമാണ്. ജൂലൈ 15.1, 15.4 ലെ ഫെഡറൽ നിയമത്തിലെ ആർട്ടിക്കിൾ 27-2006 പ്രകാരം സ്ഥാപിച്ചിട്ടുള്ള വ്യവസ്ഥകളുടെ ചട്ടക്കൂടിനുള്ളിൽ ടെലികോം ഓപ്പറേറ്റർമാരുടെ അനുസരണം നിരീക്ഷിക്കുന്നതിനാണ് ഈ സംവിധാനം രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. ”

15.1 ജൂലൈ 15.4 ലെ ഫെഡറൽ നിയമത്തിലെ ആർട്ടിക്കിൾ 27-2006 പ്രകാരം സ്ഥാപിതമായ ആവശ്യകതകൾ ടെലികോം ഓപ്പറേറ്റർമാരുടെ നിരീക്ഷണം ഉറപ്പാക്കുക എന്നതാണ് AS "റിവൈസർ" സൃഷ്ടിക്കുന്നതിന്റെ പ്രധാന ലക്ഷ്യം. "നിരോധിത വിവരങ്ങളിലേക്കുള്ള ആക്സസ് വസ്തുതകൾ തിരിച്ചറിയുന്നതിനും നിരോധിത വിവരങ്ങളിലേക്കുള്ള ആക്സസ് നിയന്ത്രിക്കുന്നതിനുള്ള ലംഘനങ്ങളെക്കുറിച്ച് പിന്തുണയ്ക്കുന്ന മെറ്റീരിയലുകൾ (ഡാറ്റ) നേടുന്നതിനും വേണ്ടി.

എല്ലാം ഇല്ലെങ്കിൽ, പല ദാതാക്കളും ഈ ഉപകരണം ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട് എന്ന വസ്തുത കണക്കിലെടുക്കുമ്പോൾ, ബീക്കൺ പ്രോബുകളുടെ ഒരു വലിയ ശൃംഖല ഉണ്ടായിരിക്കണം RIPE അറ്റ്ലസ് അതിലും കൂടുതൽ, എന്നാൽ അടച്ച പ്രവേശനത്തോടെ. എന്നിരുന്നാലും, എല്ലാ ദിശകളിലേക്കും സിഗ്നലുകൾ അയയ്‌ക്കാനുള്ള ഒരു ബീക്കൺ ആണ് ബീക്കൺ, പക്ഷേ നമ്മൾ അവയെ പിടിച്ച് എന്താണ് പിടിച്ചതെന്നും എത്രയെണ്ണം എന്നും കണ്ടാലോ?

കണക്കാക്കുന്നതിനുമുമ്പ്, എന്തുകൊണ്ടാണ് ഇത് സാധ്യമാകുന്നത് എന്ന് നോക്കാം.

ഒരു സിദ്ധാന്തം

ഇതുപോലുള്ള HTTP(S) അഭ്യർത്ഥനകൾ ഉൾപ്പെടെ, ഒരു ഉറവിടത്തിന്റെ ലഭ്യത ഏജന്റുമാർ പരിശോധിക്കുന്നു:

TCP, 14678  >  80, "[SYN] Seq=0"
TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"
TCP, 14678  >  80, "[ACK] Seq=1 Ack=1"

HTTP, "GET /somepage HTTP/1.1"
TCP, 80  >  14678, "[ACK] Seq=1 Ack=71"
HTTP, "HTTP/1.1 302 Found"

TCP, 14678  >  80, "[FIN, ACK] Seq=71 Ack=479"
TCP, 80  >  14678, "[FIN, ACK] Seq=479 Ack=72"
TCP, 14678  >  80, "[ACK] Seq=72 Ack=480"

പേലോഡിന് പുറമേ, അഭ്യർത്ഥനയിൽ ഒരു കണക്ഷൻ സ്ഥാപിക്കൽ ഘട്ടവും ഉൾപ്പെടുന്നു: എക്സ്ചേഞ്ച് SYN и SYN-ACK, കൂടാതെ കണക്ഷൻ പൂർത്തീകരണ ഘട്ടങ്ങൾ: FIN-ACK.

നിരോധിത വിവരങ്ങളുടെ രജിസ്റ്ററിൽ നിരവധി തരം തടയൽ അടങ്ങിയിരിക്കുന്നു. വ്യക്തമായും, IP വിലാസമോ ഡൊമെയ്‌ൻ നാമമോ ഉപയോഗിച്ച് ഒരു ഉറവിടം ബ്ലോക്ക് ചെയ്‌താൽ, ഞങ്ങൾ അഭ്യർത്ഥനകളൊന്നും കാണില്ല. ഒരു ഐപി വിലാസത്തിലോ ഒരു ഡൊമെയ്‌നിലെ എല്ലാ വിവരങ്ങളിലോ ഉള്ള എല്ലാ ഉറവിടങ്ങളുടെയും അപ്രാപ്യതയിലേക്ക് നയിക്കുന്ന ഏറ്റവും വിനാശകരമായ ബ്ലോക്കിംഗുകൾ ഇവയാണ്. ഒരു "URL വഴി" തടയൽ തരവും ഉണ്ട്. ഈ സാഹചര്യത്തിൽ, എന്താണ് തടയേണ്ടതെന്ന് കൃത്യമായി നിർണ്ണയിക്കാൻ ഫിൽട്ടറിംഗ് സിസ്റ്റം HTTP അഭ്യർത്ഥന തലക്കെട്ട് പാഴ്‌സ് ചെയ്യണം. അതിനുമുമ്പ്, മുകളിൽ കാണുന്നത് പോലെ, നിങ്ങൾക്ക് ട്രാക്ക് ചെയ്യാൻ ശ്രമിക്കാവുന്ന ഒരു കണക്ഷൻ എസ്റ്റാബ്ലിഷ്‌മെന്റ് ഘട്ടം ഉണ്ടായിരിക്കണം, കാരണം ഫിൽട്ടറിന് അത് നഷ്‌ടമാകും.

ഇത് ചെയ്യുന്നതിന്, ഫിൽട്ടറിംഗ് സിസ്റ്റത്തിന്റെ പ്രവർത്തനം സുഗമമാക്കുന്നതിന് "URL" ഉം HTTP തടയൽ തരവും ഉള്ള അനുയോജ്യമായ ഒരു സൌജന്യ ഡൊമെയ്ൻ നിങ്ങൾ തിരഞ്ഞെടുക്കേണ്ടതുണ്ട്. ഈ ടാസ്ക് ഒട്ടും ബുദ്ധിമുട്ടുള്ള കാര്യമല്ലെന്ന് തെളിഞ്ഞു; നിരോധിത വിവരങ്ങളുടെ രജിസ്റ്ററിലും ഓരോ അഭിരുചിക്കും ധാരാളം സൗജന്യ ഡൊമെയ്നുകൾ ഉണ്ട്. അതിനാൽ, ഡൊമെയ്ൻ വാങ്ങുകയും വിപിഎസ് റൺ ചെയ്യുന്ന IP വിലാസങ്ങളുമായി ലിങ്ക് ചെയ്യുകയും ചെയ്തു tcpdump വോട്ടെണ്ണൽ തുടങ്ങി.

"ഓഡിറ്റർമാരുടെ" ഓഡിറ്റ്

അഭ്യർത്ഥനകളുടെ ഇടയ്ക്കിടെ പൊട്ടിത്തെറികൾ കാണുമെന്ന് ഞാൻ പ്രതീക്ഷിച്ചു, അത് എന്റെ അഭിപ്രായത്തിൽ നിയന്ത്രിത പ്രവർത്തനത്തെ സൂചിപ്പിക്കും. ഞാൻ ഇത് കണ്ടിട്ടില്ലെന്ന് പറയാൻ കഴിയില്ല, പക്ഷേ വ്യക്തമായ ചിത്രമൊന്നുമില്ല:

ആർക്കും ആവശ്യമില്ലാത്ത ഒരു ഡൊമെയ്‌നിലും ഒരിക്കലും ഉപയോഗിക്കാത്ത ഐപിയിലും, ആവശ്യപ്പെടാത്ത ഒരു ടൺ വിവരങ്ങൾ ഉണ്ടായിരിക്കുമെന്നതിൽ അതിശയിക്കാനില്ല, അതാണ് ആധുനിക ഇന്റർനെറ്റ്. പക്ഷേ ഭാഗ്യവശാൽ, എനിക്ക് ഒരു നിർദ്ദിഷ്ട URL-നുള്ള അഭ്യർത്ഥനകൾ മാത്രമേ ആവശ്യമുള്ളൂ, അതിനാൽ എല്ലാ സ്കാനറുകളും പാസ്‌വേഡ് ക്രാക്കറുകളും വേഗത്തിൽ കണ്ടെത്തി. കൂടാതെ, സമാനമായ അഭ്യർത്ഥനകളുടെ അടിസ്ഥാനത്തിൽ വെള്ളപ്പൊക്കം എവിടെയാണെന്ന് മനസ്സിലാക്കാൻ വളരെ എളുപ്പമായിരുന്നു. അടുത്തതായി, ഐപി വിലാസങ്ങൾ സംഭവിക്കുന്നതിന്റെ ആവൃത്തി ഞാൻ സമാഹരിച്ചു, കൂടാതെ മുൻ ഘട്ടങ്ങളിൽ അത് നഷ്‌ടമായവരെ വേർതിരിച്ച് മുകളിൽ മുഴുവൻ സ്വമേധയാ പോയി. കൂടാതെ, ഒരു പാക്കേജിൽ അയച്ച എല്ലാ ഉറവിടങ്ങളും ഞാൻ മുറിച്ചുമാറ്റി, അവയിൽ പലതും ഇല്ല. പിന്നെ സംഭവിച്ചത് ഇതാണ്:

ഒരു ചെറിയ ലിറിക്കൽ ഡൈഗ്രഷൻ. കുറച്ച് ദിവസങ്ങൾക്ക് ശേഷം, എന്റെ ഹോസ്റ്റിംഗ് പ്രൊവൈഡർ, നിങ്ങളുടെ സൗകര്യങ്ങളിൽ RKN നിരോധിത ലിസ്റ്റിൽ നിന്നുള്ള ഒരു ഉറവിടം അടങ്ങിയിട്ടുണ്ടെന്ന് പറഞ്ഞുകൊണ്ട്, വളരെ കാര്യക്ഷമമായ ഉള്ളടക്കമുള്ള ഒരു കത്ത് അയച്ചു. ആദ്യം ഞാൻ കരുതിയത് എന്റെ അക്കൗണ്ട് ബ്ലോക്ക് ചെയ്തു, അങ്ങനെയല്ല എന്നാണ്. അപ്പോൾ ഞാൻ വിചാരിച്ചു, എനിക്ക് നേരത്തെ അറിയാവുന്ന ഒരു കാര്യത്തെ കുറിച്ച് അവർ എനിക്ക് മുന്നറിയിപ്പ് നൽകുകയാണെന്ന്. എന്നാൽ എന്റെ ഡൊമെയ്‌നിന് മുന്നിൽ ഹോസ്റ്റർ അതിന്റെ ഫിൽട്ടർ ഓൺ ചെയ്‌തു, അതിന്റെ ഫലമായി ഞാൻ ഇരട്ട ഫിൽട്ടറിംഗിന് വിധേയനായി: ദാതാക്കളിൽ നിന്നും ഹോസ്റ്ററിൽ നിന്നും. ഫിൽട്ടർ അഭ്യർത്ഥനകളുടെ അവസാനഭാഗങ്ങൾ മാത്രമേ കടന്നിട്ടുള്ളൂ: FIN-ACK и RST ഒരു നിരോധിത URL-ൽ എല്ലാ HTTP-യും മുറിക്കുക. മുകളിലുള്ള ഗ്രാഫിൽ നിന്ന് നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ആദ്യ ദിവസത്തിന് ശേഷം എനിക്ക് കുറച്ച് ഡാറ്റ ലഭിക്കാൻ തുടങ്ങി, പക്ഷേ എനിക്ക് ഇപ്പോഴും അത് ലഭിച്ചു, ഇത് അഭ്യർത്ഥന ഉറവിടങ്ങൾ കണക്കാക്കുന്നതിനുള്ള ചുമതലയ്ക്ക് പര്യാപ്തമാണ്.

കാര്യത്തിലേക്ക് വരൂ. എന്റെ അഭിപ്രായത്തിൽ, എല്ലാ ദിവസവും രണ്ട് പൊട്ടിത്തെറികൾ വ്യക്തമായി കാണാം, ആദ്യത്തേത് ചെറുത്, മോസ്കോ സമയം അർദ്ധരാത്രിക്ക് ശേഷം, രണ്ടാമത്തേത് 6 മണി വരെ വാലുമായി രാവിലെ 12 ന് അടുത്ത്. കൊടുമുടി കൃത്യമായി ഒരേ സമയം സംഭവിക്കുന്നില്ല. ആദ്യം, ഏജന്റുമാരുടെ പരിശോധനകൾ ആനുകാലികമായി നടക്കുന്നു എന്ന അനുമാനത്തിന്റെ അടിസ്ഥാനത്തിൽ, ഈ കാലയളവുകളിലും എല്ലാ കാലഘട്ടങ്ങളിലും മാത്രം വീഴുന്ന IP വിലാസങ്ങൾ തിരഞ്ഞെടുക്കാൻ ഞാൻ ആഗ്രഹിച്ചു. എന്നാൽ സൂക്ഷ്മമായി അവലോകനം ചെയ്‌തപ്പോൾ, ഓരോ മണിക്കൂറിലും ഒരു അഭ്യർത്ഥന വരെ, മറ്റ് ആവൃത്തികൾക്കൊപ്പം, മറ്റ് ഇടവേളകളിലേക്ക് വീഴുന്ന കാലഘട്ടങ്ങൾ ഞാൻ പെട്ടെന്ന് കണ്ടെത്തി. അപ്പോൾ ഞാൻ സമയ മേഖലകളെക്കുറിച്ചും അവയുമായി എന്തെങ്കിലും ബന്ധമുണ്ടെന്നും ചിന്തിച്ചു, പൊതുവെ ഈ സിസ്റ്റം ആഗോളതലത്തിൽ സമന്വയിപ്പിച്ചേക്കില്ല എന്ന് ഞാൻ കരുതി. കൂടാതെ, NAT ഒരുപക്ഷേ ഒരു പങ്ക് വഹിക്കും, ഒരേ ഏജന്റിന് വ്യത്യസ്ത പൊതു ഐപികളിൽ നിന്ന് അഭ്യർത്ഥനകൾ നടത്താനാകും.

എന്റെ ആദ്യ ലക്ഷ്യം കൃത്യമായി അല്ലാത്തതിനാൽ, ഒരാഴ്ചയ്ക്കുള്ളിൽ ഞാൻ കണ്ട എല്ലാ വിലാസങ്ങളും ഞാൻ എണ്ണി - 2791. ഒരു വിലാസത്തിൽ നിന്ന് സ്ഥാപിതമായ TCP സെഷനുകളുടെ എണ്ണം ശരാശരി 4 ആണ്, ശരാശരി 2 ആണ്. ഓരോ വിലാസത്തിനും ടോപ്പ് സെഷനുകൾ: 464, 231, 149, 83, 77. സാമ്പിളിന്റെ 95% മുതൽ പരമാവധി വിലാസം 8 സെഷനുകളാണ്. മീഡിയൻ വളരെ ഉയർന്നതല്ല, ഗ്രാഫ് വ്യക്തമായ പ്രതിദിന ആനുകാലികത കാണിക്കുന്നുവെന്ന് ഞാൻ നിങ്ങളെ ഓർമ്മിപ്പിക്കട്ടെ, അതിനാൽ ഒരാൾക്ക് 4 ദിവസത്തിനുള്ളിൽ 8 മുതൽ 7 വരെ എന്തെങ്കിലും പ്രതീക്ഷിക്കാം. ഒരിക്കൽ സംഭവിക്കുന്ന എല്ലാ സെഷനുകളും നമ്മൾ തള്ളിക്കളയുകയാണെങ്കിൽ, നമുക്ക് 5 ന് തുല്യമായ ഒരു മീഡിയൻ ലഭിക്കും. എന്നാൽ വ്യക്തമായ ഒരു മാനദണ്ഡത്തിന്റെ അടിസ്ഥാനത്തിൽ എനിക്ക് അവ ഒഴിവാക്കാനായില്ല. നേരെമറിച്ച്, ഒരു നിരോധിത ഉറവിടത്തിനായുള്ള അഭ്യർത്ഥനകളുമായി അവ ബന്ധപ്പെട്ടിരിക്കുന്നുവെന്ന് ക്രമരഹിതമായ പരിശോധനയിൽ തെളിഞ്ഞു.

വിലാസങ്ങൾ വിലാസങ്ങളാണ്, എന്നാൽ ഇന്റർനെറ്റിൽ, സ്വയംഭരണ സംവിധാനങ്ങൾ - AS, അത് കൂടുതൽ പ്രാധാന്യമർഹിക്കുന്നു 1510, ശരാശരി 2 വിലാസങ്ങൾ ഓരോ എഎസിനും ശരാശരി 1. ഓരോ എ.എസിനും പ്രധാന വിലാസങ്ങൾ: 288, 77, 66, 39, 27. സാമ്പിളിന്റെ പരമാവധി 95%, ഓരോ എ.എസിനും 4 വിലാസങ്ങളാണ്. ഇവിടെ ശരാശരി പ്രതീക്ഷിക്കുന്നത് - ഓരോ ദാതാവിനും ഒരു ഏജന്റ്. ഞങ്ങളും ടോപ്പ് പ്രതീക്ഷിക്കുന്നു - അതിൽ വലിയ കളിക്കാർ ഉണ്ട്. ഒരു വലിയ നെറ്റ്‌വർക്കിൽ, ഓപ്പറേറ്ററുടെ സാന്നിധ്യമുള്ള ഓരോ മേഖലയിലും ഏജന്റുമാർ ഒരുപക്ഷേ സ്ഥിതിചെയ്യണം, NAT-നെ കുറിച്ച് മറക്കരുത്. ഞങ്ങൾ ഇത് രാജ്യം അനുസരിച്ച് എടുക്കുകയാണെങ്കിൽ, പരമാവധി ഇതായിരിക്കും: 1409 - RU, 42 - UA, 23 - CZ, 36 മറ്റ് പ്രദേശങ്ങളിൽ നിന്ന്, RIPE NCC അല്ല. റഷ്യയ്ക്ക് പുറത്ത് നിന്നുള്ള അഭ്യർത്ഥനകൾ ശ്രദ്ധ ആകർഷിക്കുന്നു. ഡാറ്റ പൂരിപ്പിക്കുമ്പോൾ ജിയോലൊക്കേഷൻ പിശകുകളാലോ രജിസ്ട്രാർ പിശകുകളാലോ ഇത് വിശദീകരിക്കാം. അല്ലെങ്കിൽ ഒരു റഷ്യൻ കമ്പനിക്ക് റഷ്യൻ വേരുകൾ ഇല്ലായിരിക്കാം, അല്ലെങ്കിൽ ഒരു വിദേശ പ്രതിനിധി ഓഫീസ് ഉണ്ടായിരിക്കാം, കാരണം ഇത് എളുപ്പമാണ്, ഇത് ഒരു വിദേശ സംഘടനയായ RIPE NCC യുമായി ഇടപെടുമ്പോൾ സ്വാഭാവികമാണ്. ചില ഭാഗങ്ങൾ നിസ്സംശയമായും അമിതമാണ്, പക്ഷേ റിസോഴ്‌സ് തടയുന്നതിലും രണ്ടാം ദിവസം മുതൽ ഇരട്ട ബ്ലോക്കിംഗിലും ആയതിനാൽ, അത് വേർതിരിക്കുന്നത് വിശ്വസനീയമായി ബുദ്ധിമുട്ടാണ്, കൂടാതെ മിക്ക സെഷനുകളും നിരവധി സേവന പാക്കറ്റുകളുടെ കൈമാറ്റം മാത്രമാണ്. ഇതൊരു ചെറിയ ഭാഗമാണെന്ന് സമ്മതിക്കാം.

ഈ നമ്പറുകൾ ഇതിനകം റഷ്യയിലെ ദാതാക്കളുടെ എണ്ണവുമായി താരതമ്യം ചെയ്യാം. ആർ.കെ.എൻ "വോയ്‌സ് ഒഴികെയുള്ള ഡാറ്റാ ട്രാൻസ്മിഷനുള്ള ആശയവിനിമയ സേവനങ്ങൾ" - 6387 എന്നതിനായുള്ള ലൈസൻസുകൾ, എന്നാൽ ഇത് മുകളിൽ നിന്നുള്ള വളരെ ഉയർന്ന കണക്കാണ്, ഈ ലൈസൻസുകളെല്ലാം ഒരു ഏജന്റ് ഇൻസ്റ്റാൾ ചെയ്യേണ്ട ഇന്റർനെറ്റ് ദാതാക്കൾക്ക് പ്രത്യേകമായി ബാധകമല്ല. RIPE NCC സോണിൽ റഷ്യയിൽ രജിസ്റ്റർ ചെയ്തിട്ടുള്ള സമാനമായ എണ്ണം AS-കൾ ഉണ്ട് - 6230, അതിൽ എല്ലാവരും ദാതാക്കളല്ല. യൂസർസൈഡ് കൂടുതൽ കർശനമായ കണക്കുകൂട്ടൽ നടത്തി കൂടാതെ 3940 ൽ 2017 കമ്പനികൾ ലഭിച്ചു, ഇത് മുകളിൽ നിന്നുള്ള ഒരു കണക്കാണ്. ഏതായാലും, പ്രകാശിത എ.എസുകളുടെ എണ്ണം രണ്ടര മടങ്ങ് കുറവാണ്. എന്നാൽ ഇവിടെ AS ദാതാവിന് കർശനമായി തുല്യമല്ലെന്ന് മനസ്സിലാക്കേണ്ടതാണ്. ചില ദാതാക്കൾക്ക് അവരുടേതായ AS ഇല്ല, ചിലർക്ക് ഒന്നിൽ കൂടുതൽ ഉണ്ട്. എല്ലാവർക്കും ഇപ്പോഴും ഏജന്റുമാരുണ്ടെന്ന് ഞങ്ങൾ അനുമാനിക്കുകയാണെങ്കിൽ, ആരെങ്കിലും മറ്റുള്ളവരെ അപേക്ഷിച്ച് കൂടുതൽ ശക്തമായി ഫിൽട്ടർ ചെയ്യുന്നു, അതിനാൽ അവരുടെ അഭ്യർത്ഥനകൾ മാലിന്യത്തിൽ നിന്ന് വേർതിരിച്ചറിയാൻ കഴിയില്ല, അവർ അവരിൽ എത്തിയാൽ. എന്നാൽ ഒരു ഏകദേശ വിലയിരുത്തലിന്, എന്റെ മേൽനോട്ടം കാരണം എന്തെങ്കിലും നഷ്ടപ്പെട്ടാലും അത് തികച്ചും സഹനീയമാണ്.

ഡിപിഐയെക്കുറിച്ച്

എന്റെ ഹോസ്റ്റിംഗ് ദാതാവ് രണ്ടാം ദിവസം മുതൽ അതിന്റെ ഫിൽട്ടർ ഓണാക്കിയിട്ടുണ്ടെങ്കിലും, ആദ്യ ദിവസത്തെ വിവരങ്ങളുടെ അടിസ്ഥാനത്തിൽ തടയൽ വിജയകരമായി പ്രവർത്തിക്കുന്നുവെന്ന് നമുക്ക് നിഗമനം ചെയ്യാം. 4 ഉറവിടങ്ങൾക്ക് മാത്രമേ HTTP, TCP സെഷനുകൾ പൂർത്തിയാക്കാൻ കഴിയൂ (മുകളിലുള്ള ഉദാഹരണത്തിലെന്നപോലെ). 460 പേർ കൂടി അയക്കാം GET, എന്നാൽ സെഷൻ ഉടൻ അവസാനിപ്പിക്കുന്നു RST. ശ്രദ്ധിക്കുക TTL:

TTL 50, TCP, 14678  >  80, "[SYN] Seq=0"
TTL 64, TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"
TTL 50, TCP, 14678  >  80, "[ACK] Seq=1 Ack=1"

HTTP, "GET /filteredpage HTTP/1.1"
TTL 64, TCP, 80  >  14678, "[ACK] Seq=1 Ack=294"

#Вот это прислал фильтр
TTL 53, TCP, 14678  >  80, "[RST] Seq=3458729893"
TTL 53, TCP, 14678  >  80, "[RST] Seq=3458729893"

HTTP, "HTTP/1.1 302 Found"

#А это попытка исходного узла получить потерю
TTL 50, TCP ACKed unseen segment, 14678 > 80, "[ACK] Seq=294 Ack=145"

TTL 50, TCP, 14678  >  80, "[FIN, ACK] Seq=294 Ack=145"
TTL 64, TCP, 80  >  14678, "[FIN, ACK] Seq=171 Ack=295"

TTL 50, TCP Dup ACK 14678 > 80 "[ACK] Seq=295 Ack=145"

#Исходный узел понимает что сессия разрушена
TTL 50, TCP, 14678  >  80, "[RST] Seq=294"
TTL 50, TCP, 14678  >  80, "[RST] Seq=295"

ഇതിന്റെ വ്യതിയാനങ്ങൾ വ്യത്യസ്തമായിരിക്കും: കുറവ് RST അല്ലെങ്കിൽ കൂടുതൽ റീട്രാൻസ്മിറ്റുകൾ - സോഴ്സ് നോഡിലേക്ക് ഫിൽട്ടർ അയക്കുന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. ഏത് സാഹചര്യത്തിലും, ഇത് ഏറ്റവും വിശ്വസനീയമായ ടെംപ്ലേറ്റ് ആണ്, അതിൽ നിന്ന് ആവശ്യപ്പെട്ടത് നിരോധിത വിഭവമാണെന്ന് വ്യക്തമാണ്. കൂടാതെ സെഷനിൽ എപ്പോഴും ഒരു ഉത്തരമുണ്ട് TTL മുമ്പത്തേതും തുടർന്നുള്ളതുമായ പാക്കേജുകളേക്കാൾ വലുത്.

ബാക്കിയുള്ളവരിൽ നിന്ന് നിങ്ങൾക്ക് അത് കാണാൻ പോലും കഴിയില്ല GET:

TTL 50, TCP, 14678  >  80, "[SYN] Seq=0"
TTL 64, TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"

#Вот это прислал фильтр
TTL 53, TCP, 14678  >  80, "[RST] Seq=1"

അല്ലെങ്കിൽ അങ്ങനെ:

TTL 50, TCP, 14678  >  80, "[SYN] Seq=0"
TTL 64, TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"
TTL 50, TCP, 14678  >  80, "[ACK] Seq=1 Ack=1"

#Вот это прислал фильтр
TTL 53, TCP, 14678  >  80, "[RST, PSH] Seq=1"

TTL 50, TCP ACKed unseen segment, 14678 > 80, "[FIN, ACK] Seq=89 Ack=172"
TTL 50, TCP ACKed unseen segment, 14678 > 80, "[FIN, ACK] Seq=89 Ack=172"

#Опять фильтр, много раз
TTL 53, TCP, 14678  >  80, "[RST, PSH] Seq=1"
...

വ്യത്യാസം തീർച്ചയായും ദൃശ്യമാണ് TTL ഫിൽട്ടറിൽ നിന്ന് എന്തെങ്കിലും വന്നാൽ. എന്നാൽ പലപ്പോഴും ഒന്നും വന്നേക്കില്ല:

TCP, 14678  >  80, "[SYN] Seq=0"
TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"
TCP Retransmission, 80 > 14678, "[SYN, ACK] Seq=0 Ack=1"
...

അല്ലെങ്കിൽ അങ്ങനെ:

TCP, 14678  >  80, "[SYN] Seq=0"
TCP, 80  >  14678, "[SYN, ACK] Seq=0 Ack=1"
TCP, 14678  >  80, "[ACK] Seq=1 Ack=1"

#Прошло несколько секунд без трафика

TCP, 80  >  14678, "[FIN, ACK] Seq=1 Ack=1"
TCP Retransmission, 80 > 14678, "[FIN, ACK] Seq=1 Ack=1"
...

ഗ്രാഫിൽ കാണാൻ കഴിയുന്നതുപോലെ, എല്ലാ ദിവസവും ഒന്നിലധികം തവണ, ഇതെല്ലാം ആവർത്തിക്കുകയും ആവർത്തിക്കുകയും ആവർത്തിക്കുകയും ചെയ്യുന്നു.

IPv6 നെ കുറിച്ച്

അത് നിലവിലുണ്ട് എന്നതാണ് നല്ല വാർത്ത. നിരോധിത ഉറവിടത്തിലേക്കുള്ള ആനുകാലിക അഭ്യർത്ഥനകൾ 5 വ്യത്യസ്‌ത IPv6 വിലാസങ്ങളിൽ നിന്നാണെന്ന് എനിക്ക് വിശ്വസനീയമായി പറയാൻ കഴിയും, ഇത് ഞാൻ പ്രതീക്ഷിച്ച ഏജന്റുമാരുടെ സ്വഭാവമാണ്. മാത്രമല്ല, IPv6 വിലാസങ്ങളിലൊന്ന് ഫിൽട്ടറിംഗിന് കീഴിൽ വരുന്നില്ല, ഞാൻ ഒരു പൂർണ്ണ സെഷൻ കാണുന്നു. രണ്ടെണ്ണത്തിൽ നിന്ന്, പൂർത്തിയാകാത്ത ഒരു സെഷൻ മാത്രമാണ് ഞാൻ കണ്ടത്, അതിലൊന്ന് തടസ്സപ്പെട്ടു RST ഫിൽട്ടറിൽ നിന്ന്, സമയത്തിൽ രണ്ടാമത്തേത്. മൊത്തം തുക 7.

കുറച്ച് വിലാസങ്ങൾ ഉള്ളതിനാൽ, ഞാൻ അവയെല്ലാം വിശദമായി പഠിച്ചു, അവിടെ 3 ദാതാക്കൾ മാത്രമേ ഉള്ളൂവെന്ന് മനസ്സിലായി, അവർക്ക് സ്‌റ്റാൻഡിംഗ് ഓവേഷൻ നൽകാം! മറ്റൊരു വിലാസം റഷ്യയിലെ ക്ലൗഡ് ഹോസ്റ്റിംഗ് (ഫിൽട്ടർ ചെയ്യുന്നില്ല), മറ്റൊന്ന് ജർമ്മനിയിലെ ഒരു ഗവേഷണ കേന്ദ്രമാണ് (ഒരു ഫിൽട്ടർ ഉണ്ട്, എവിടെ?). എന്നാൽ അവർ എന്തിനാണ് നിരോധിത വിഭവങ്ങളുടെ ലഭ്യത ഒരു ഷെഡ്യൂളിൽ പരിശോധിക്കുന്നത് എന്നത് ഒരു നല്ല ചോദ്യമാണ്. ശേഷിക്കുന്ന രണ്ടെണ്ണം ഒരു അഭ്യർത്ഥന നടത്തി, റഷ്യയ്ക്ക് പുറത്ത് സ്ഥിതിചെയ്യുന്നു, അവയിലൊന്ന് ഫിൽട്ടർ ചെയ്‌തിരിക്കുന്നു (ട്രാൻസിറ്റിൽ, എല്ലാത്തിനുമുപരി?).

തടയലും ഏജന്റുമാരും IPv6-ന് വലിയ തടസ്സമാണ്, ഇത് നടപ്പിലാക്കുന്നത് വളരെ വേഗത്തിൽ നീങ്ങുന്നില്ല. സങ്കടകരമാണ്. ഈ പ്രശ്നം പരിഹരിച്ചവർക്ക് സ്വയം അഭിമാനിക്കാം.

ഉപസംഹാരമായി

ഞാൻ 100% കൃത്യതയ്ക്കായി പരിശ്രമിച്ചില്ല, ദയവായി എന്നോട് ക്ഷമിക്കൂ, ആരെങ്കിലും ഈ ജോലി കൂടുതൽ കൃത്യതയോടെ ആവർത്തിക്കാൻ ആഗ്രഹിക്കുന്നുവെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു. ഈ സമീപനം തത്വത്തിൽ പ്രവർത്തിക്കുമോ എന്ന് മനസ്സിലാക്കേണ്ടത് എനിക്ക് പ്രധാനമാണ്. അതെ എന്നാണ് ഉത്തരം. ലഭിച്ച കണക്കുകൾ, ആദ്യ ഏകദേശമെന്ന നിലയിൽ, തികച്ചും വിശ്വസനീയമാണെന്ന് ഞാൻ കരുതുന്നു.

മറ്റെന്താണ് ചെയ്യാൻ കഴിയുക, ചെയ്യാൻ മടിയനായത് DNS അഭ്യർത്ഥനകൾ എണ്ണുക എന്നതാണ്. അവ ഫിൽട്ടർ ചെയ്‌തിട്ടില്ല, പക്ഷേ അവ കൂടുതൽ കൃത്യത നൽകുന്നില്ല, കാരണം അവ ഡൊമെയ്‌നിനായി മാത്രം പ്രവർത്തിക്കുന്നു, മുഴുവൻ URL-നും വേണ്ടിയല്ല. ആവൃത്തി ദൃശ്യമായിരിക്കണം. ചോദ്യങ്ങളിൽ നേരിട്ട് ദൃശ്യമാകുന്നവയുമായി നിങ്ങൾ ഇത് സംയോജിപ്പിച്ചാൽ, അനാവശ്യമായത് വേർതിരിച്ച് കൂടുതൽ വിവരങ്ങൾ നേടുന്നതിന് ഇത് നിങ്ങളെ അനുവദിക്കും. ദാതാക്കൾ ഉപയോഗിക്കുന്ന DNS-ന്റെ ഡെവലപ്പർമാരെയും മറ്റും നിർണ്ണയിക്കാൻ പോലും സാധ്യമാണ്.

എന്റെ VPS-നായി ഹോസ്റ്റർ സ്വന്തം ഫിൽട്ടറും ഉൾപ്പെടുത്തുമെന്ന് ഞാൻ തീരെ പ്രതീക്ഷിച്ചിരുന്നില്ല. ഒരുപക്ഷേ ഇത് സാധാരണ രീതിയാണ്. അവസാനം, റിസോഴ്‌സ് ഇല്ലാതാക്കാൻ RKN ഒരു അഭ്യർത്ഥന ഹോസ്റ്ററിന് അയയ്ക്കുന്നു. എന്നാൽ ഇത് എന്നെ ആശ്ചര്യപ്പെടുത്തിയില്ല, ചില വഴികളിൽ എന്റെ നേട്ടത്തിനായി പോലും പ്രവർത്തിച്ചു. ഫിൽട്ടർ വളരെ ഫലപ്രദമായി പ്രവർത്തിച്ചു, ഒരു നിരോധിത URL-ലേക്കുള്ള എല്ലാ ശരിയായ HTTP അഭ്യർത്ഥനകളും വെട്ടിക്കുറച്ചു, എന്നാൽ ദാതാക്കളുടെ ഫിൽട്ടറിലൂടെ മുമ്പ് കടന്നുപോയ ശരിയായവ അവയിൽ എത്തിയില്ല, അവസാനങ്ങളുടെ രൂപത്തിൽ മാത്രമാണെങ്കിലും: FIN-ACK и RST - മൈനസിന് മൈനസ്, ഇത് മിക്കവാറും ഒരു പ്ലസ് ആയി മാറി. വഴിയിൽ, ഹോസ്റ്റർ IPv6 ഫിൽട്ടർ ചെയ്തിട്ടില്ല. തീർച്ചയായും, ഇത് ശേഖരിച്ച മെറ്റീരിയലിന്റെ ഗുണനിലവാരത്തെ ബാധിച്ചു, പക്ഷേ അത് ഇപ്പോഴും ആവൃത്തി കാണുന്നത് സാധ്യമാക്കി. ഉറവിടങ്ങൾ സ്ഥാപിക്കുന്നതിന് ഒരു സൈറ്റ് തിരഞ്ഞെടുക്കുമ്പോൾ ഇത് ഒരു പ്രധാന പോയിന്റാണെന്ന് ഇത് മാറി; നിരോധിത സൈറ്റുകളുടെ പട്ടികയും RKN-ൽ നിന്നുള്ള അഭ്യർത്ഥനകളും ഉപയോഗിച്ച് ജോലി സംഘടിപ്പിക്കുന്ന പ്രശ്നത്തിൽ താൽപ്പര്യമെടുക്കാൻ മറക്കരുത്.

തുടക്കത്തിൽ, ഞാൻ AS "ഇൻസ്പെക്ടറെ" താരതമ്യം ചെയ്തു RIPE അറ്റ്ലസ്. ഈ താരതമ്യം തികച്ചും ന്യായമാണ് കൂടാതെ ഏജന്റുമാരുടെ ഒരു വലിയ ശൃംഖല ഗുണം ചെയ്യും. ഉദാഹരണത്തിന്, രാജ്യത്തിന്റെ വിവിധ ഭാഗങ്ങളിൽ വിവിധ ദാതാക്കളിൽ നിന്നുള്ള വിഭവ ലഭ്യതയുടെ ഗുണനിലവാരം നിർണ്ണയിക്കൽ. നിങ്ങൾക്ക് കാലതാമസം കണക്കാക്കാനും ഗ്രാഫുകൾ നിർമ്മിക്കാനും നിങ്ങൾക്ക് എല്ലാം വിശകലനം ചെയ്യാനും പ്രാദേശികമായും ആഗോളമായും സംഭവിക്കുന്ന മാറ്റങ്ങൾ കാണാനും കഴിയും. ഇത് ഏറ്റവും നേരിട്ടുള്ള മാർഗമല്ല, എന്നാൽ ജ്യോതിശാസ്ത്രജ്ഞർ "സാധാരണ മെഴുകുതിരികൾ" ഉപയോഗിക്കുന്നു, എന്തുകൊണ്ട് ഏജന്റ്സ് ഉപയോഗിക്കരുത്? അവരുടെ സ്റ്റാൻഡേർഡ് സ്വഭാവം അറിയുന്നതിലൂടെ (കണ്ടെത്തിയാൽ), അവർക്ക് ചുറ്റും സംഭവിക്കുന്ന മാറ്റങ്ങളും ഇത് നൽകിയിരിക്കുന്ന സേവനങ്ങളുടെ ഗുണനിലവാരത്തെ എങ്ങനെ ബാധിക്കുന്നുവെന്നും നിങ്ങൾക്ക് നിർണ്ണയിക്കാനാകും. അതേ സമയം, നിങ്ങൾ നെറ്റ്‌വർക്കിൽ പ്രോബുകൾ സ്വതന്ത്രമായി സ്ഥാപിക്കേണ്ടതില്ല; Roskomnadzor ഇതിനകം തന്നെ അവ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്.

ഞാൻ സ്പർശിക്കാൻ ആഗ്രഹിക്കുന്ന മറ്റൊരു കാര്യം, ഓരോ ഉപകരണവും ഒരു ആയുധമാകാം എന്നതാണ്. AS "ഇൻസ്പെക്ടർ" ഒരു അടഞ്ഞ ശൃംഖലയാണ്, എന്നാൽ നിരോധിത പട്ടികയിൽ നിന്ന് എല്ലാ വിഭവങ്ങൾക്കും അഭ്യർത്ഥനകൾ അയച്ചുകൊണ്ട് ഏജന്റുമാർ എല്ലാവരെയും കൈമാറുന്നു. അത്തരമൊരു റിസോഴ്സ് ഉള്ളത് ഒരു പ്രശ്നവും അവതരിപ്പിക്കുന്നില്ല. മൊത്തത്തിൽ, ഏജന്റുമാർ മുഖേനയുള്ള ദാതാക്കൾ, അറിയാതെ, അവരുടെ നെറ്റ്‌വർക്കിനെക്കുറിച്ച് ഒരുപക്ഷേ വിലമതിക്കുന്നതിനേക്കാൾ കൂടുതൽ കാര്യങ്ങൾ പറയുന്നു: DPI, DNS തരങ്ങൾ, ഏജന്റിന്റെ സ്ഥാനം (സെൻട്രൽ നോഡും സേവന ശൃംഖലയും?), കാലതാമസത്തിന്റെയും നഷ്ടത്തിന്റെയും നെറ്റ്‌വർക്ക് മാർക്കറുകൾ - ഇത് ഏറ്റവും വ്യക്തമായത് മാത്രം. മറ്റൊരാൾക്ക് അവരുടെ വിഭവങ്ങളുടെ ലഭ്യത മെച്ചപ്പെടുത്തുന്നതിന് ഏജന്റുമാരുടെ പ്രവർത്തനങ്ങൾ നിരീക്ഷിക്കാൻ കഴിയുന്നതുപോലെ, മറ്റ് ആവശ്യങ്ങൾക്കായി ആർക്കെങ്കിലും ഇത് ചെയ്യാൻ കഴിയും, ഇതിന് തടസ്സങ്ങളൊന്നുമില്ല. ഇരുതല മൂർച്ചയുള്ളതും ബഹുമുഖവുമായ ഒരു ഉപകരണമാണ് ഫലം, ആർക്കും ഇത് കാണാൻ കഴിയും.

അവലംബം: www.habr.com