डीपीआय सेटिंग्जची वैशिष्ट्ये

हा लेख पूर्ण डीपीआय समायोजन आणि एकमेकांशी जोडलेले सर्वकाही समाविष्ट करत नाही आणि मजकूराचे वैज्ञानिक मूल्य किमान आहे. परंतु ते डीपीआयला बायपास करण्याचा सर्वात सोपा मार्ग वर्णन करते, जे बर्याच कंपन्यांनी विचारात घेतले नाही.

अस्वीकरण #1: हा लेख संशोधन स्वरूपाचा आहे आणि कोणालाही काहीही करण्यास किंवा वापरण्यास प्रोत्साहित करत नाही. कल्पना वैयक्तिक अनुभवावर आधारित आहे आणि कोणतीही समानता यादृच्छिक आहेत.

Предупреждение №2: в статье не раскрываются тайны Атлантиды, поиска Святого Грааля и иные загадки вселенной, весь материал находится в свободном доступе и возможно не раз был описан на Хабре. (я не нашел, за ссылку буду признателен)

ज्यांनी इशारे वाचल्या आहेत त्यांच्यासाठी, चला सुरुवात करूया.

DPI म्हणजे काय?

डीपीआय किंवा डीप पॅकेट तपासणी हे सांख्यिकीय डेटा जमा करणे, नेटवर्क पॅकेट तपासणे आणि फिल्टर करणे हे केवळ पॅकेट शीर्षलेखच नव्हे तर ओएसआय मॉडेलच्या पातळीवरील रहदारीच्या संपूर्ण सामग्रीचे विश्लेषण करून दुसर्‍या आणि उच्च स्तरावरील तंत्रज्ञान आहे, जे तुम्हाला शोधण्यास आणि व्हायरस ब्लॉक करा, निर्दिष्ट निकषांची पूर्तता न करणारी माहिती फिल्टर करा.

डीपीआय कनेक्शनचे दोन प्रकार आहेत, ज्याचे वर्णन केले आहे ValdikSS github वर:

निष्क्रिय DPI

डीपीआय एकतर पॅसिव्ह ऑप्टिकल स्प्लिटरद्वारे किंवा वापरकर्त्यांकडून उद्भवणाऱ्या ट्रॅफिकचे मिररिंग वापरून समांतर (कट मध्ये नाही) प्रदाता नेटवर्कशी जोडलेले आहे. अपर्याप्त DPI कार्यप्रदर्शनाच्या बाबतीत हे कनेक्शन प्रदात्याच्या नेटवर्कची गती कमी करत नाही, म्हणूनच ते मोठ्या प्रदात्यांद्वारे वापरले जाते. या कनेक्शन प्रकारासह DPI तांत्रिकदृष्ट्या केवळ प्रतिबंधित सामग्रीची विनंती करण्याचा प्रयत्न शोधू शकतो, परंतु ते थांबवू शकत नाही. हे निर्बंध बायपास करण्यासाठी आणि प्रतिबंधित साइटवर प्रवेश अवरोधित करण्यासाठी, डीपीआय वापरकर्त्याला ब्लॉक केलेल्या URL ची विनंती करणारा एक खास तयार केलेला HTTP पॅकेट प्रदात्याच्या स्टब पृष्ठावर पुनर्निर्देशित करून पाठवतो, जणू काही असा प्रतिसाद विनंती केलेल्या संसाधनानेच पाठवला होता (प्रेषकाचा IP पत्ता आणि TCP अनुक्रम बनावट आहेत). विनंती केलेल्या साइटपेक्षा डीपीआय प्रत्यक्षरित्या वापरकर्त्याच्या जवळ असल्यामुळे, स्पूफ केलेला प्रतिसाद साइटच्या वास्तविक प्रतिसादापेक्षा अधिक वेगाने वापरकर्त्याच्या डिव्हाइसपर्यंत पोहोचतो.

सक्रिय DPI

सक्रिय DPI - DPI प्रदात्याच्या नेटवर्कशी नेहमीच्या मार्गाने कनेक्ट केलेले आहे, इतर कोणत्याही नेटवर्क उपकरणाप्रमाणे. प्रदाता राउटिंग कॉन्फिगर करतो जेणेकरून DPI ला वापरकर्त्यांकडून ब्लॉक केलेले IP पत्ते किंवा डोमेनवर ट्रॅफिक मिळेल आणि DPI नंतर ट्रॅफिकला परवानगी द्यायची की ब्लॉक करायची हे ठरवते. सक्रिय डीपीआय आउटगोइंग आणि इनकमिंग दोन्ही ट्रॅफिकची तपासणी करू शकते, तथापि, जर प्रदाता फक्त रजिस्ट्रीमधील साइट्स ब्लॉक करण्यासाठी डीपीआय वापरत असेल, तर बहुतेकदा ते फक्त आउटगोइंग ट्रॅफिकची तपासणी करण्यासाठी कॉन्फिगर केले जाते.

केवळ ट्रॅफिक ब्लॉकिंगची प्रभावीताच नाही तर डीपीआयवरील भार देखील कनेक्शनच्या प्रकारावर अवलंबून असतो, त्यामुळे सर्व ट्रॅफिक स्कॅन करणे शक्य नाही, परंतु काही विशिष्ट:

"सामान्य" DPI

एक "नियमित" DPI एक DPI आहे जो विशिष्ट प्रकारच्या रहदारीला फक्त त्या प्रकारच्या सर्वात सामान्य पोर्टवर फिल्टर करतो. उदाहरणार्थ, "नियमित" DPI केवळ पोर्ट 80 वर प्रतिबंधित HTTP ट्रॅफिक शोधते आणि अवरोधित करते, पोर्ट 443 वर HTTPS ट्रॅफिक. जर तुम्ही ब्लॉक केलेल्या URL सह अनब्लॉक केलेल्या IP किंवा गैर-अवरोधित URL सह विनंती पाठवली तर या प्रकारचा DPI प्रतिबंधित सामग्रीचा मागोवा घेणार नाही. मानक पोर्ट.

"पूर्ण" DPI

"नियमित" DPI च्या विपरीत, DPI चा हा प्रकार IP पत्ता आणि पोर्ट विचारात न घेता रहदारीचे वर्गीकरण करतो. अशा प्रकारे, तुम्ही पूर्णपणे वेगळ्या पोर्टवर प्रॉक्सी सर्व्हर वापरत असाल आणि आयपी अॅड्रेस अनब्लॉक केला असला तरीही ब्लॉक केलेल्या साइट उघडणार नाहीत.

डीपीआय वापरणे

डेटा ट्रान्सफर रेट कमी न करण्यासाठी, तुम्हाला "सामान्य" निष्क्रिय डीपीआय वापरण्याची आवश्यकता आहे, जे तुम्हाला प्रभावीपणे परवानगी देते? काही अवरोधित करा? संसाधने, डीफॉल्ट कॉन्फिगरेशन असे दिसते:

• HTTP फिल्टर फक्त पोर्ट 80 वर
• HTTPS फक्त पोर्ट 443 वर
• BitTorrent फक्त 6881-6889 पोर्टवर

पण समस्या सुरू झाल्यास वापरकर्ते गमावू नये म्हणून संसाधन भिन्न पोर्ट वापरेल, नंतर तुम्हाला प्रत्येक पॅकेज तपासावे लागेल, उदाहरणार्थ तुम्ही देऊ शकता:

• HTTP पोर्ट 80 आणि 8080 वर कार्य करते
• पोर्ट ४४३ आणि ८४४३ वर HTTPS
• इतर कोणत्याही बँडवर BitTorrent

यामुळे, तुम्हाला एकतर "सक्रिय" DPI वर स्विच करावे लागेल किंवा अतिरिक्त DNS सर्व्हर वापरून ब्लॉकिंग वापरावे लागेल.

DNS वापरून अवरोधित करणे

स्त्रोतामध्ये प्रवेश अवरोधित करण्याचा एक मार्ग म्हणजे स्थानिक DNS सर्व्हर वापरून DNS विनंती रोखणे आणि वापरकर्त्याला आवश्यक संसाधनाऐवजी "स्टब" IP पत्ता परत करणे. परंतु हे हमी दिलेले परिणाम देत नाही, कारण पत्ता स्पूफिंग रोखणे शक्य आहे:

पर्याय १: होस्ट फाइल संपादित करणे (डेस्कटॉपसाठी)

होस्ट फाइल कोणत्याही ऑपरेटिंग सिस्टमचा अविभाज्य भाग आहे, जी तुम्हाला ती नेहमी वापरण्याची परवानगी देते. संसाधनात प्रवेश करण्यासाठी, वापरकर्त्याने हे करणे आवश्यक आहे:

1. आवश्यक संसाधनाचा IP पत्ता शोधा
2. संपादनासाठी होस्ट फाइल उघडा (प्रशासक अधिकार आवश्यक), येथे स्थित:
   • लिनक्स: /etc/hosts
   • विंडोज: %WinDir%System32driversetchosts
3. फॉरमॅटमध्ये एक ओळ जोडा:
4. बदल जतन करा

या पद्धतीचा फायदा म्हणजे त्याची जटिलता आणि प्रशासक अधिकारांची आवश्यकता.

पर्याय २: DoH (HTTPS वर DNS) किंवा DoT (TLS वर DNS)

या पद्धती तुम्हाला तुमच्या DNS विनंतीला एनक्रिप्शन वापरून स्पूफिंगपासून संरक्षित करण्याची परवानगी देतात, परंतु अंमलबजावणी सर्व अनुप्रयोगांद्वारे समर्थित नाही. वापरकर्त्याच्या बाजूने Mozilla Firefox आवृत्ती 66 साठी DoH सेट करण्याची सोय पाहू:

1. पत्त्यावर जा about: config फायरफॉक्स मध्ये
2. पुष्टी करा की वापरकर्ता सर्व जोखीम गृहीत धरतो
3. Изменить значение параметра network.trr.mode चालू
   • 0 - TRR अक्षम करा
   • 1 - स्वयंचलित निवड
   • 2 - डीफॉल्टनुसार DoH सक्षम करा
4. पॅरामीटर बदला network.trr.uri DNS सर्व्हर निवडत आहे
   • क्लाउडफ्लेअर DNS: mozilla.cloudflare-dns.com/dns-query
   • GoogleDNS: dns.google.com/experimental
5. पॅरामीटर बदला network.trr.boostrapAddress चालू
   • Cloudflare DNS निवडल्यास: 1.1.1.1
   • Google DNS निवडल्यास: 8.8.8.8
6. Изменить значение параметра network.security.esni.enabled वर खरे
7. वापरून सेटिंग्ज योग्य असल्याचे तपासा क्लाउडफ्लेअर सेवा

जरी ही पद्धत अधिक क्लिष्ट असली तरी, यासाठी वापरकर्त्यास प्रशासक अधिकार असणे आवश्यक नाही आणि DNS विनंती सुरक्षित करण्याचे इतर अनेक मार्ग आहेत ज्यांचे या लेखात वर्णन केलेले नाही.

पर्याय 3 (मोबाइल उपकरणांसाठी):

यासाठी Cloudflare अॅप वापरणे Android и IOS.

चाचणी

संसाधनांमध्ये प्रवेशाचा अभाव तपासण्यासाठी, रशियन फेडरेशनमध्ये अवरोधित केलेले डोमेन तात्पुरते खरेदी केले गेले:

• HTTP चेक + पोर्ट 80
• HTTP चेक + पोर्ट 8080
• HTTPS चेक + पोर्ट 443
• HTTPS चेक + पोर्ट 8443

निष्कर्ष

मला आशा आहे की हा लेख उपयुक्त ठरेल आणि केवळ प्रशासकांनाच विषय अधिक तपशीलवार समजून घेण्यास प्रोत्साहित करेल असे नाही तर ते समजून देखील देईल. संसाधने नेहमी वापरकर्त्याच्या बाजूने असतील आणि नवीन उपायांचा शोध त्यांच्यासाठी अविभाज्य भाग असावा.

उपयुक्त दुवे

• फायरफॉक्समध्ये एनक्रिप्टेड SNI मानक लागू करणे
• ऑफलाइन DPI बायपास

लेखाच्या बाहेर जोडCloudflare चाचणी Tele2 ऑपरेटर नेटवर्कवर पूर्ण केली जाऊ शकत नाही आणि योग्यरित्या कॉन्फिगर केलेले DPI चाचणी साइटवर प्रवेश अवरोधित करते.
P.S. आतापर्यंत संसाधने योग्यरित्या अवरोधित करणारा हा पहिला प्रदाता आहे.

स्त्रोत: www.habr.com