ਵਿਸ਼ਾ ਬਹੁਤ ਕੁੱਟਿਆ ਗਿਆ ਹੈ, ਮੈਨੂੰ ਪਤਾ ਹੈ. ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਮਹਾਨ ਹੈ ਲੇਖ, ਪਰ ਬਲੌਕਲਿਸਟ ਦੇ ਸਿਰਫ਼ IP ਹਿੱਸੇ ਨੂੰ ਉੱਥੇ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ। ਅਸੀਂ ਡੋਮੇਨ ਵੀ ਜੋੜਾਂਗੇ।

ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਕਿ ਅਦਾਲਤਾਂ ਅਤੇ ਆਰਕੇਐਨ ਹਰ ਚੀਜ਼ ਨੂੰ ਸੱਜੇ ਅਤੇ ਖੱਬੇ ਪਾਸੇ ਰੋਕਦੇ ਹਨ, ਅਤੇ ਪ੍ਰਦਾਤਾ ਰੀਵੀਜ਼ੋਰੋ ਦੁਆਰਾ ਜਾਰੀ ਕੀਤੇ ਗਏ ਜੁਰਮਾਨਿਆਂ ਦੇ ਅਧੀਨ ਨਾ ਆਉਣ ਦੀ ਪੂਰੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ, ਬਲਾਕ ਕਰਨ ਨਾਲ ਜੁੜੇ ਨੁਕਸਾਨ ਕਾਫ਼ੀ ਵੱਡੇ ਹਨ। ਅਤੇ "ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ" ਬਲੌਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਵਿੱਚੋਂ ਬਹੁਤ ਸਾਰੀਆਂ ਉਪਯੋਗੀ ਹਨ (ਹੈਲੋ, ਰਟਰੈਕਰ)

ਮੈਂ RKN ਦੇ ਅਧਿਕਾਰ ਖੇਤਰ ਤੋਂ ਬਾਹਰ ਰਹਿੰਦਾ ਹਾਂ, ਪਰ ਮੇਰੇ ਮਾਤਾ-ਪਿਤਾ, ਰਿਸ਼ਤੇਦਾਰ ਅਤੇ ਦੋਸਤ ਘਰ ਵਿੱਚ ਹੀ ਰਹੇ। ਇਸ ਲਈ ਇਹ ਫੈਸਲਾ ਕੀਤਾ ਗਿਆ ਸੀ ਕਿ IT ਤੋਂ ਦੂਰ ਲੋਕਾਂ ਲਈ ਬਾਈਪਾਸ ਬਲਾਕਿੰਗ ਦਾ ਇੱਕ ਆਸਾਨ ਤਰੀਕਾ ਹੈ, ਤਰਜੀਹੀ ਤੌਰ 'ਤੇ ਉਨ੍ਹਾਂ ਦੀ ਭਾਗੀਦਾਰੀ ਤੋਂ ਬਿਨਾਂ।

ਇਸ ਨੋਟ ਵਿੱਚ, ਮੈਂ ਕਦਮਾਂ ਵਿੱਚ ਬੁਨਿਆਦੀ ਨੈਟਵਰਕ ਚੀਜ਼ਾਂ ਦਾ ਵਰਣਨ ਨਹੀਂ ਕਰਾਂਗਾ, ਪਰ ਮੈਂ ਇਸ ਸਕੀਮ ਨੂੰ ਕਿਵੇਂ ਲਾਗੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਦੇ ਆਮ ਸਿਧਾਂਤਾਂ ਦਾ ਵਰਣਨ ਕਰਾਂਗਾ। ਇਸ ਲਈ ਆਮ ਤੌਰ 'ਤੇ ਅਤੇ ਲੀਨਕਸ ਵਿੱਚ ਖਾਸ ਤੌਰ 'ਤੇ ਨੈੱਟਵਰਕ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ ਇਸ ਬਾਰੇ ਗਿਆਨ ਹੋਣਾ ਲਾਜ਼ਮੀ ਹੈ।

ਤਾਲੇ ਦੀਆਂ ਕਿਸਮਾਂ

ਪਹਿਲਾਂ, ਆਓ ਆਪਣੀ ਯਾਦ ਨੂੰ ਤਾਜ਼ਾ ਕਰੀਏ ਕਿ ਕੀ ਬਲੌਕ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ।

RKN ਤੋਂ ਅਨਲੋਡ ਕੀਤੇ XML ਵਿੱਚ ਕਈ ਕਿਸਮ ਦੇ ਤਾਲੇ ਹਨ:

• IP
• ਡੋਮੈਨ
• URL ਨੂੰ

ਸਰਲਤਾ ਲਈ, ਅਸੀਂ ਉਹਨਾਂ ਨੂੰ ਦੋ ਤੱਕ ਘਟਾਵਾਂਗੇ: ਆਈਪੀ ਅਤੇ ਡੋਮੇਨ, ਅਤੇ ਅਸੀਂ ਸਿਰਫ਼ ਡੋਮੇਨ ਨੂੰ URL ਦੁਆਰਾ ਬਲੌਕ ਕਰਨ ਤੋਂ ਬਾਹਰ ਕੱਢ ਦੇਵਾਂਗੇ (ਵਧੇਰੇ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ, ਉਨ੍ਹਾਂ ਨੇ ਸਾਡੇ ਲਈ ਇਹ ਪਹਿਲਾਂ ਹੀ ਕੀਤਾ ਹੈ).

ਤੱਕ ਚੰਗੇ ਲੋਕ ਰੋਸਕੋਮਸਵੋਬੋਡਾ ਇੱਕ ਸ਼ਾਨਦਾਰ ਅਹਿਸਾਸ ਹੋਇਆ API, ਜਿਸ ਰਾਹੀਂ ਅਸੀਂ ਉਹ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹਾਂ ਜੋ ਸਾਨੂੰ ਚਾਹੀਦਾ ਹੈ:

• IP: https://api.reserve-rbl.ru/api/v2/ips/json
• ਡੋਮੇਨ: https://api.reserve-rbl.ru/api/v2/domains/json

ਬਲੌਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਤੱਕ ਪਹੁੰਚ

ਅਜਿਹਾ ਕਰਨ ਲਈ, ਸਾਨੂੰ ਕੁਝ ਛੋਟੇ ਵਿਦੇਸ਼ੀ VPS ਦੀ ਲੋੜ ਹੈ, ਤਰਜੀਹੀ ਤੌਰ 'ਤੇ ਅਸੀਮਤ ਟ੍ਰੈਫਿਕ ਦੇ ਨਾਲ - 3-5 ਬਕਸ ਲਈ ਇਹਨਾਂ ਵਿੱਚੋਂ ਬਹੁਤ ਸਾਰੇ ਹਨ. ਤੁਹਾਨੂੰ ਇਸਨੂੰ ਨੇੜਲੇ ਵਿਦੇਸ਼ਾਂ ਵਿੱਚ ਲੈਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ ਤਾਂ ਜੋ ਪਿੰਗ ਬਹੁਤ ਵੱਡਾ ਨਾ ਹੋਵੇ, ਪਰ ਦੁਬਾਰਾ, ਧਿਆਨ ਵਿੱਚ ਰੱਖੋ ਕਿ ਇੰਟਰਨੈਟ ਅਤੇ ਭੂਗੋਲ ਹਮੇਸ਼ਾ ਮੇਲ ਨਹੀਂ ਖਾਂਦੇ. ਅਤੇ ਕਿਉਂਕਿ 5 ਰੁਪਏ ਲਈ ਕੋਈ SLA ਨਹੀਂ ਹੈ, ਨੁਕਸ ਸਹਿਣਸ਼ੀਲਤਾ ਲਈ ਵੱਖ-ਵੱਖ ਪ੍ਰਦਾਤਾਵਾਂ ਤੋਂ 2+ ਟੁਕੜੇ ਲੈਣਾ ਬਿਹਤਰ ਹੈ।

ਅੱਗੇ, ਸਾਨੂੰ ਕਲਾਇੰਟ ਰਾਊਟਰ ਤੋਂ VPS ਤੱਕ ਇੱਕ ਐਨਕ੍ਰਿਪਟਡ ਸੁਰੰਗ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਮੈਂ ਵਾਇਰਗਾਰਡ ਨੂੰ ਸੈੱਟਅੱਪ ਕਰਨ ਲਈ ਸਭ ਤੋਂ ਤੇਜ਼ ਅਤੇ ਆਸਾਨ ਵਜੋਂ ਵਰਤਦਾ ਹਾਂ। ਮੇਰੇ ਕੋਲ ਲੀਨਕਸ 'ਤੇ ਅਧਾਰਤ ਕਲਾਇੰਟ ਰਾਊਟਰ ਵੀ ਹਨ (APU2 ਜਾਂ OpenWRT ਵਿੱਚ ਕੋਈ ਚੀਜ਼)। ਕੁਝ ਮਿਕਰੋਟਿਕ / ਸਿਸਕੋ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ਤੁਸੀਂ ਓਪਨਵੀਪੀਐਨ ਅਤੇ ਜੀਆਰਈ-ਓਵਰ-ਆਈਪੀਐਸਈਸੀ ਵਰਗੇ ਉਹਨਾਂ 'ਤੇ ਉਪਲਬਧ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ।

ਦਿਲਚਸਪੀ ਦੇ ਟ੍ਰੈਫਿਕ ਦੀ ਪਛਾਣ ਅਤੇ ਰੀਡਾਇਰੈਕਸ਼ਨ

ਤੁਸੀਂ, ਬੇਸ਼ਕ, ਵਿਦੇਸ਼ੀ ਦੇਸ਼ਾਂ ਦੁਆਰਾ ਸਾਰੇ ਇੰਟਰਨੈਟ ਟ੍ਰੈਫਿਕ ਨੂੰ ਬੰਦ ਕਰ ਸਕਦੇ ਹੋ. ਪਰ, ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ, ਸਥਾਨਕ ਸਮੱਗਰੀ ਨਾਲ ਕੰਮ ਕਰਨ ਦੀ ਗਤੀ ਇਸ ਤੋਂ ਬਹੁਤ ਪ੍ਰਭਾਵਿਤ ਹੋਵੇਗੀ. ਨਾਲ ਹੀ, VPS 'ਤੇ ਬੈਂਡਵਿਡਥ ਲੋੜਾਂ ਬਹੁਤ ਜ਼ਿਆਦਾ ਹੋਣਗੀਆਂ।

ਇਸ ਲਈ, ਸਾਨੂੰ ਕਿਸੇ ਤਰ੍ਹਾਂ ਬਲੌਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਲਈ ਟ੍ਰੈਫਿਕ ਨਿਰਧਾਰਤ ਕਰਨ ਅਤੇ ਚੋਣਵੇਂ ਤੌਰ 'ਤੇ ਇਸ ਨੂੰ ਸੁਰੰਗ ਵੱਲ ਭੇਜਣ ਦੀ ਜ਼ਰੂਰਤ ਹੋਏਗੀ. ਭਾਵੇਂ ਕੁਝ "ਵਾਧੂ" ਟ੍ਰੈਫਿਕ ਉੱਥੇ ਆ ਜਾਂਦਾ ਹੈ, ਇਹ ਸੁਰੰਗ ਰਾਹੀਂ ਸਭ ਕੁਝ ਚਲਾਉਣ ਨਾਲੋਂ ਅਜੇ ਵੀ ਬਹੁਤ ਵਧੀਆ ਹੈ।

ਟ੍ਰੈਫਿਕ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਲਈ, ਅਸੀਂ BGP ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਾਂਗੇ ਅਤੇ ਸਾਡੇ VPS ਤੋਂ ਗਾਹਕਾਂ ਤੱਕ ਲੋੜੀਂਦੇ ਨੈੱਟਵਰਕਾਂ ਲਈ ਰੂਟਾਂ ਦਾ ਐਲਾਨ ਕਰਾਂਗੇ। ਆਉ BIRD ਨੂੰ ਸਭ ਤੋਂ ਵੱਧ ਕਾਰਜਸ਼ੀਲ ਅਤੇ ਸੁਵਿਧਾਜਨਕ BGP ਡੈਮਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਜੋਂ ਲੈਂਦੇ ਹਾਂ।

IP

IP ਦੁਆਰਾ ਬਲੌਕ ਕਰਨ ਦੇ ਨਾਲ, ਸਭ ਕੁਝ ਸਪੱਸ਼ਟ ਹੈ: ਅਸੀਂ ਸਿਰਫ਼ VPS ਦੇ ਨਾਲ ਸਾਰੇ ਬਲੌਕ ਕੀਤੇ IP ਦੀ ਘੋਸ਼ਣਾ ਕਰਦੇ ਹਾਂ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ ਸੂਚੀ ਵਿੱਚ ਲਗਭਗ 600 ਹਜ਼ਾਰ ਸਬਨੈੱਟ ਹਨ ਜੋ API ਵਾਪਸ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਵਿੱਚੋਂ ਜ਼ਿਆਦਾਤਰ /32 ਹੋਸਟ ਹਨ। ਰੂਟਾਂ ਦੀ ਇਹ ਗਿਣਤੀ ਕਮਜ਼ੋਰ ਕਲਾਇੰਟ ਰਾਊਟਰਾਂ ਨੂੰ ਉਲਝਾ ਸਕਦੀ ਹੈ।

ਇਸਲਈ, ਸੂਚੀ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ, ਇਹ ਫੈਸਲਾ ਕੀਤਾ ਗਿਆ ਸੀ ਕਿ ਜੇਕਰ ਇਸ ਵਿੱਚ 24 ਜਾਂ ਵੱਧ ਮੇਜ਼ਬਾਨ ਹਨ ਤਾਂ /2 ਨੈੱਟਵਰਕ ਤੱਕ ਦਾ ਸਾਰ ਦਿੱਤਾ ਜਾਵੇ। ਇਸ ਤਰ੍ਹਾਂ, ਰੂਟਾਂ ਦੀ ਗਿਣਤੀ ~ 100 ਹਜ਼ਾਰ ਤੱਕ ਘਟਾ ਦਿੱਤੀ ਗਈ ਸੀ। ਇਸਦੇ ਲਈ ਸਕ੍ਰਿਪਟ ਦੀ ਪਾਲਣਾ ਕੀਤੀ ਜਾਵੇਗੀ।

ਡੋਮੇਨ

ਇਹ ਵਧੇਰੇ ਗੁੰਝਲਦਾਰ ਹੈ ਅਤੇ ਕਈ ਤਰੀਕੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਹਰੇਕ ਕਲਾਇੰਟ ਰਾਊਟਰ 'ਤੇ ਇੱਕ ਪਾਰਦਰਸ਼ੀ ਸਕੁਇਡ ਸਥਾਪਤ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਉੱਥੇ HTTP ਇੰਟਰਸੈਪਸ਼ਨ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਪਹਿਲੇ ਕੇਸ ਵਿੱਚ ਬੇਨਤੀ ਕੀਤੇ URL ਅਤੇ ਦੂਜੇ ਵਿੱਚ SNI ਤੋਂ ਡੋਮੇਨ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ TLS ਹੈਂਡਸ਼ੇਕ ਵਿੱਚ ਝਾਤ ਮਾਰ ਸਕਦੇ ਹੋ।

ਪਰ ਹਰ ਤਰ੍ਹਾਂ ਦੇ ਨਵੇਂ TLS1.3 + eSNI ਦੇ ਕਾਰਨ, HTTPS ਵਿਸ਼ਲੇਸ਼ਣ ਹਰ ਦਿਨ ਘੱਟ ਅਤੇ ਘੱਟ ਅਸਲੀ ਹੁੰਦਾ ਜਾ ਰਿਹਾ ਹੈ। ਹਾਂ, ਅਤੇ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਵਧੇਰੇ ਗੁੰਝਲਦਾਰ ਬਣ ਰਿਹਾ ਹੈ - ਤੁਹਾਨੂੰ ਘੱਟੋ ਘੱਟ ਓਪਨਡਬਲਯੂਆਰਟੀ ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਪਵੇਗੀ.

ਇਸ ਲਈ, ਮੈਂ DNS ਬੇਨਤੀਆਂ ਦੇ ਜਵਾਬਾਂ ਨੂੰ ਰੋਕਣ ਦਾ ਰਾਹ ਅਪਣਾਉਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ. ਇੱਥੇ, ਵੀ, ਕੋਈ ਵੀ DNS-ਓਵਰ-TLS/HTTPS ਤੁਹਾਡੇ ਸਿਰ 'ਤੇ ਘੁੰਮਣਾ ਸ਼ੁਰੂ ਹੋ ਜਾਂਦਾ ਹੈ, ਪਰ ਅਸੀਂ (ਹੁਣ ਲਈ) ਕਲਾਇੰਟ 'ਤੇ ਇਸ ਹਿੱਸੇ ਨੂੰ ਨਿਯੰਤਰਿਤ ਕਰ ਸਕਦੇ ਹਾਂ - ਜਾਂ ਤਾਂ ਇਸਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹਾਂ ਜਾਂ DoT / DoH ਲਈ ਆਪਣੇ ਖੁਦ ਦੇ ਸਰਵਰ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹਾਂ।

DNS ਨੂੰ ਕਿਵੇਂ ਰੋਕਿਆ ਜਾਵੇ?

ਇੱਥੇ, ਵੀ, ਕਈ ਪਹੁੰਚ ਹੋ ਸਕਦੇ ਹਨ.

• PCAP ਜਾਂ NFLOG ਦੁਆਰਾ DNS ਟ੍ਰੈਫਿਕ ਦੀ ਰੁਕਾਵਟ
  ਇੰਟਰਸੈਪਸ਼ਨ ਦੇ ਇਹ ਦੋਵੇਂ ਤਰੀਕੇ ਉਪਯੋਗਤਾ ਵਿੱਚ ਲਾਗੂ ਕੀਤੇ ਗਏ ਹਨ sidmat. ਪਰ ਇਹ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਸਮਰਥਿਤ ਨਹੀਂ ਹੈ ਅਤੇ ਕਾਰਜਕੁਸ਼ਲਤਾ ਬਹੁਤ ਪੁਰਾਣੀ ਹੈ, ਇਸ ਲਈ ਤੁਹਾਨੂੰ ਅਜੇ ਵੀ ਇਸਦੇ ਲਈ ਇੱਕ ਹਾਰਨ ਲਿਖਣ ਦੀ ਜ਼ਰੂਰਤ ਹੈ.
• DNS ਸਰਵਰ ਲੌਗਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ
  ਬਦਕਿਸਮਤੀ ਨਾਲ, ਮੈਨੂੰ ਜਾਣੇ ਜਾਂਦੇ ਆਵਰਤੀ ਜਵਾਬਾਂ ਨੂੰ ਲੌਗ ਕਰਨ ਦੇ ਯੋਗ ਨਹੀਂ ਹਨ, ਪਰ ਸਿਰਫ਼ ਬੇਨਤੀਆਂ ਹਨ। ਸਿਧਾਂਤ ਵਿੱਚ, ਇਹ ਤਰਕਪੂਰਨ ਹੈ, ਕਿਉਂਕਿ, ਬੇਨਤੀਆਂ ਦੇ ਉਲਟ, ਜਵਾਬਾਂ ਦੀ ਇੱਕ ਗੁੰਝਲਦਾਰ ਬਣਤਰ ਹੁੰਦੀ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਟੈਕਸਟ ਰੂਪ ਵਿੱਚ ਲਿਖਣਾ ਮੁਸ਼ਕਲ ਹੁੰਦਾ ਹੈ।
• DNSTap
  ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਉਹਨਾਂ ਵਿੱਚੋਂ ਬਹੁਤ ਸਾਰੇ ਪਹਿਲਾਂ ਹੀ ਇਸ ਉਦੇਸ਼ ਲਈ DNSTap ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ।

DNSTap ਕੀ ਹੈ?

ਇਹ ਇੱਕ ਕਲਾਇੰਟ-ਸਰਵਰ ਪ੍ਰੋਟੋਕੋਲ ਹੈ ਜੋ ਪ੍ਰੋਟੋਕੋਲ ਬਫਰਾਂ ਅਤੇ ਫਰੇਮ ਸਟ੍ਰੀਮਾਂ 'ਤੇ ਆਧਾਰਿਤ ਹੈ ਜੋ ਕਿ ਇੱਕ DNS ਸਰਵਰ ਤੋਂ ਢਾਂਚਾਗਤ DNS ਸਵਾਲਾਂ ਅਤੇ ਜਵਾਬਾਂ ਦੇ ਇੱਕ ਕੁਲੈਕਟਰ ਨੂੰ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਲਈ ਹੈ। ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ, DNS ਸਰਵਰ ਪੁੱਛਗਿੱਛ ਅਤੇ ਜਵਾਬ ਮੈਟਾਡੇਟਾ (ਸੁਨੇਹੇ ਦੀ ਕਿਸਮ, ਕਲਾਇੰਟ/ਸਰਵਰ IP, ਆਦਿ) ਅਤੇ ਪੂਰੇ DNS ਸੁਨੇਹਿਆਂ ਨੂੰ (ਬਾਈਨਰੀ) ਰੂਪ ਵਿੱਚ ਪ੍ਰਸਾਰਿਤ ਕਰਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਇਹ ਉਹਨਾਂ ਨਾਲ ਨੈੱਟਵਰਕ ਉੱਤੇ ਕੰਮ ਕਰਦਾ ਹੈ।

ਇਹ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ DNSTap ਪੈਰਾਡਾਈਮ ਵਿੱਚ, DNS ਸਰਵਰ ਇੱਕ ਕਲਾਇੰਟ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਕੁਲੈਕਟਰ ਇੱਕ ਸਰਵਰ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ। ਭਾਵ, DNS ਸਰਵਰ ਕੁਲੈਕਟਰ ਨਾਲ ਜੁੜਦਾ ਹੈ, ਨਾ ਕਿ ਉਲਟ।

ਅੱਜ DNSTap ਸਾਰੇ ਪ੍ਰਸਿੱਧ DNS ਸਰਵਰਾਂ ਵਿੱਚ ਸਮਰਥਿਤ ਹੈ। ਪਰ, ਉਦਾਹਰਨ ਲਈ, ਬਹੁਤ ਸਾਰੀਆਂ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਵਿੱਚ BIND (ਜਿਵੇਂ Ubuntu LTS) ਅਕਸਰ ਇਸਦੇ ਸਮਰਥਨ ਤੋਂ ਬਿਨਾਂ ਕਿਸੇ ਕਾਰਨ ਕਰਕੇ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਸ ਲਈ ਆਓ ਦੁਬਾਰਾ ਅਸੈਂਬਲੀ ਨਾਲ ਪਰੇਸ਼ਾਨ ਨਾ ਹੋਈਏ, ਪਰ ਇੱਕ ਹਲਕਾ ਅਤੇ ਤੇਜ਼ ਰਿਕਰਸਰ ਲਓ - ਅਨਬਾਉਂਡ।

DNSTap ਨੂੰ ਕਿਵੇਂ ਫੜਨਾ ਹੈ?

ਹਨ ਕੁੱਝ ਦੀ ਰਕਮ DNSTap ਇਵੈਂਟਸ ਦੀ ਇੱਕ ਸਟ੍ਰੀਮ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ CLI ਉਪਯੋਗਤਾਵਾਂ, ਪਰ ਉਹ ਸਾਡੀ ਸਮੱਸਿਆ ਨੂੰ ਹੱਲ ਕਰਨ ਲਈ ਢੁਕਵੇਂ ਨਹੀਂ ਹਨ। ਇਸ ਲਈ, ਮੈਂ ਆਪਣੀ ਖੁਦ ਦੀ ਸਾਈਕਲ ਦੀ ਕਾਢ ਕੱਢਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ ਜੋ ਉਹ ਸਭ ਕੁਝ ਕਰੇਗਾ ਜੋ ਜ਼ਰੂਰੀ ਹੈ: dnstap-bgp

ਕੰਮ ਦਾ ਐਲਗੋਰਿਦਮ:

• ਜਦੋਂ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਇਹ ਇੱਕ ਟੈਕਸਟ ਫਾਈਲ ਤੋਂ ਡੋਮੇਨਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਲੋਡ ਕਰਦਾ ਹੈ, ਉਹਨਾਂ ਨੂੰ ਉਲਟਾਉਂਦਾ ਹੈ (habr.com -> com.habr), ਟੁੱਟੀਆਂ ਲਾਈਨਾਂ, ਡੁਪਲੀਕੇਟ ਅਤੇ ਸਬਡੋਮੇਨਾਂ ਨੂੰ ਸ਼ਾਮਲ ਨਹੀਂ ਕਰਦਾ (ਜਿਵੇਂ ਕਿ ਜੇਕਰ ਸੂਚੀ ਵਿੱਚ habr.com ਅਤੇ www.habr.com ਸ਼ਾਮਲ ਹਨ, ਇਸ ਨੂੰ ਸਿਰਫ ਪਹਿਲਾ ਲੋਡ ਕੀਤਾ ਜਾਵੇਗਾ) ਅਤੇ ਇਸ ਸੂਚੀ ਦੁਆਰਾ ਤੇਜ਼ੀ ਨਾਲ ਖੋਜ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰੀਫਿਕਸ ਟ੍ਰੀ ਬਣਾਉਂਦਾ ਹੈ
• ਇੱਕ DNSTap ਸਰਵਰ ਵਜੋਂ ਕੰਮ ਕਰਨਾ, ਇਹ ਇੱਕ DNS ਸਰਵਰ ਤੋਂ ਇੱਕ ਕੁਨੈਕਸ਼ਨ ਦੀ ਉਡੀਕ ਕਰਦਾ ਹੈ। ਸਿਧਾਂਤ ਵਿੱਚ, ਇਹ UNIX ਅਤੇ TCP ਸਾਕਟ ਦੋਵਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਪਰ DNS ਸਰਵਰ ਜਿਨ੍ਹਾਂ ਨੂੰ ਮੈਂ ਜਾਣਦਾ ਹਾਂ ਸਿਰਫ UNIX ਸਾਕਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ
• ਆਉਣ ਵਾਲੇ DNSTap ਪੈਕੇਟਾਂ ਨੂੰ ਪਹਿਲਾਂ ਇੱਕ ਪ੍ਰੋਟੋਬਫ ਢਾਂਚੇ ਵਿੱਚ ਡੀਸੀਰੀਅਲਾਈਜ਼ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਫਿਰ ਬਾਈਨਰੀ DNS ਸੁਨੇਹਾ, ਜੋ ਕਿ ਪ੍ਰੋਟੋਬਫ ਫੀਲਡਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਸਥਿਤ ਹੁੰਦਾ ਹੈ, ਨੂੰ DNS RR ਰਿਕਾਰਡਾਂ ਦੇ ਪੱਧਰ ਤੱਕ ਪਾਰਸ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
• ਇਹ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਕੀ ਬੇਨਤੀ ਕੀਤੀ ਹੋਸਟ (ਜਾਂ ਇਸਦਾ ਮੂਲ ਡੋਮੇਨ) ਲੋਡ ਕੀਤੀ ਸੂਚੀ ਵਿੱਚ ਹੈ, ਜੇਕਰ ਨਹੀਂ, ਤਾਂ ਜਵਾਬ ਨੂੰ ਅਣਡਿੱਠ ਕੀਤਾ ਜਾਂਦਾ ਹੈ
• ਜਵਾਬ ਵਿੱਚੋਂ ਸਿਰਫ਼ A/AAAA/CNAME RR ਚੁਣੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਸੰਬੰਧਿਤ IPv4/IPv6 ਪਤੇ ਉਹਨਾਂ ਤੋਂ ਕੱਢੇ ਜਾਂਦੇ ਹਨ।
• IP ਐਡਰੈੱਸ ਕੌਂਫਿਗਰ ਕਰਨ ਯੋਗ TTL ਨਾਲ ਕੈਸ਼ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਸਾਰੇ ਕੌਂਫਿਗਰ ਕੀਤੇ BGP ਸਾਥੀਆਂ ਨੂੰ ਇਸ਼ਤਿਹਾਰ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ
• ਜਦੋਂ ਪਹਿਲਾਂ ਹੀ ਕੈਸ਼ ਕੀਤੇ ਆਈਪੀ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਨ ਵਾਲਾ ਜਵਾਬ ਪ੍ਰਾਪਤ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਇਸਦਾ TTL ਅੱਪਡੇਟ ਹੁੰਦਾ ਹੈ
• TTL ਦੀ ਮਿਆਦ ਪੁੱਗਣ ਤੋਂ ਬਾਅਦ, ਐਂਟਰੀ ਨੂੰ ਕੈਸ਼ ਅਤੇ BGP ਘੋਸ਼ਣਾਵਾਂ ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ

ਵਾਧੂ ਕਾਰਜਕੁਸ਼ਲਤਾ:

• SIGHUP ਦੁਆਰਾ ਡੋਮੇਨਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਮੁੜ ਪੜ੍ਹਨਾ
• ਕੈਸ਼ ਨੂੰ ਹੋਰ ਮੌਕਿਆਂ ਨਾਲ ਸਮਕਾਲੀ ਰੱਖਣਾ dnstap-bgp HTTP/JSON ਰਾਹੀਂ
• ਰੀਸਟਾਰਟ ਕਰਨ ਤੋਂ ਬਾਅਦ ਇਸਦੀ ਸਮੱਗਰੀ ਨੂੰ ਰੀਸਟੋਰ ਕਰਨ ਲਈ ਡਿਸਕ (ਬੋਲਟਡੀਬੀ ਡੇਟਾਬੇਸ ਵਿੱਚ) ਉੱਤੇ ਕੈਸ਼ ਦੀ ਡੁਪਲੀਕੇਟ ਕਰੋ
• ਇੱਕ ਵੱਖਰੇ ਨੈੱਟਵਰਕ ਨੇਮਸਪੇਸ ਵਿੱਚ ਬਦਲਣ ਲਈ ਸਮਰਥਨ (ਇਸਦੀ ਲੋੜ ਕਿਉਂ ਹੈ ਹੇਠਾਂ ਵਰਣਨ ਕੀਤਾ ਜਾਵੇਗਾ)
• IPv6 ਸਹਿਯੋਗ

ਕਮੀਆਂ:

• IDN ਡੋਮੇਨ ਅਜੇ ਸਮਰਥਿਤ ਨਹੀਂ ਹਨ
• ਕੁਝ BGP ਸੈਟਿੰਗਾਂ

ਮੈਂ ਇਕੱਠਾ ਕੀਤਾ RPM ਅਤੇ DEB ਆਸਾਨ ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਪੈਕੇਜ. ਸਿਸਟਮਡ ਦੇ ਨਾਲ ਸਭ ਮੁਕਾਬਲਤਨ ਹਾਲੀਆ OS ਤੇ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। ਉਹਨਾਂ ਕੋਲ ਕੋਈ ਨਿਰਭਰਤਾ ਨਹੀਂ ਹੈ।

ਸਕੀਮ

ਇਸ ਲਈ, ਆਓ ਸਾਰੇ ਭਾਗਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰੀਏ। ਨਤੀਜੇ ਵਜੋਂ, ਸਾਨੂੰ ਇਸ ਨੈਟਵਰਕ ਟੌਪੋਲੋਜੀ ਵਰਗਾ ਕੁਝ ਪ੍ਰਾਪਤ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ:

ਕੰਮ ਦਾ ਤਰਕ, ਮੇਰੇ ਖਿਆਲ ਵਿੱਚ, ਚਿੱਤਰ ਤੋਂ ਸਪਸ਼ਟ ਹੈ:

• ਕਲਾਇੰਟ ਨੇ ਸਾਡੇ ਸਰਵਰ ਨੂੰ DNS ਦੇ ਤੌਰ 'ਤੇ ਕੌਂਫਿਗਰ ਕੀਤਾ ਹੋਇਆ ਹੈ, ਅਤੇ DNS ਪੁੱਛਗਿੱਛਾਂ ਨੂੰ VPN 'ਤੇ ਵੀ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਜ਼ਰੂਰੀ ਹੈ ਤਾਂ ਕਿ ਪ੍ਰਦਾਤਾ ਬਲਾਕ ਕਰਨ ਲਈ DNS ਇੰਟਰਸੈਪਸ਼ਨ ਦੀ ਵਰਤੋਂ ਨਾ ਕਰ ਸਕੇ।
• ਸਾਈਟ ਨੂੰ ਖੋਲ੍ਹਣ ਵੇਲੇ, ਕਲਾਇੰਟ ਇੱਕ DNS ਪੁੱਛਗਿੱਛ ਭੇਜਦਾ ਹੈ ਜਿਵੇਂ ਕਿ "xxx.org ਦੇ IP ਕੀ ਹਨ"
• ਬੇਅੰਤ xxx.org ਨੂੰ ਹੱਲ ਕਰਦਾ ਹੈ (ਜਾਂ ਇਸਨੂੰ ਕੈਸ਼ ਤੋਂ ਲੈਂਦਾ ਹੈ) ਅਤੇ ਕਲਾਇੰਟ ਨੂੰ ਜਵਾਬ ਭੇਜਦਾ ਹੈ “xxx.org ਕੋਲ ਅਜਿਹਾ ਅਤੇ ਅਜਿਹਾ IP ਹੈ”, ਇਸਨੂੰ DNSTap ਰਾਹੀਂ ਸਮਾਨਾਂਤਰ ਰੂਪ ਵਿੱਚ ਡੁਪਲੀਕੇਟ ਕਰਦਾ ਹੈ।
• dnstap-bgp ਵਿੱਚ ਇਹਨਾਂ ਪਤਿਆਂ ਦੀ ਘੋਸ਼ਣਾ ਕਰਦਾ ਹੈ BIRD BGP ਦੁਆਰਾ ਜੇਕਰ ਡੋਮੇਨ ਬਲੌਕ ਕੀਤੀ ਸੂਚੀ ਵਿੱਚ ਹੈ
• BIRD ਨਾਲ ਇਹਨਾਂ IPs ਲਈ ਇੱਕ ਰੂਟ ਦਾ ਇਸ਼ਤਿਹਾਰ ਦਿੰਦਾ ਹੈ next-hop self ਗਾਹਕ ਰਾਊਟਰ
• ਕਲਾਇੰਟ ਤੋਂ ਇਹਨਾਂ IPs ਤੱਕ ਦੇ ਬਾਅਦ ਵਾਲੇ ਪੈਕੇਟ ਸੁਰੰਗ ਵਿੱਚੋਂ ਲੰਘਦੇ ਹਨ

ਸਰਵਰ 'ਤੇ, ਬਲੌਕ ਕੀਤੀਆਂ ਸਾਈਟਾਂ ਦੇ ਰੂਟਾਂ ਲਈ, ਮੈਂ BIRD ਦੇ ਅੰਦਰ ਇੱਕ ਵੱਖਰੀ ਸਾਰਣੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹਾਂ ਅਤੇ ਇਹ ਕਿਸੇ ਵੀ ਤਰੀਕੇ ਨਾਲ OS ਨਾਲ ਨਹੀਂ ਕੱਟਦਾ ਹੈ।

ਇਸ ਸਕੀਮ ਵਿੱਚ ਇੱਕ ਕਮੀ ਹੈ: ਗਾਹਕ ਤੋਂ ਪਹਿਲਾ SYN ਪੈਕੇਟ, ਜ਼ਿਆਦਾਤਰ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ, ਘਰੇਲੂ ਪ੍ਰਦਾਤਾ ਦੁਆਰਾ ਛੱਡਣ ਦਾ ਸਮਾਂ ਹੋਵੇਗਾ। ਰੂਟ ਦਾ ਤੁਰੰਤ ਐਲਾਨ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਅਤੇ ਇੱਥੇ ਵਿਕਲਪ ਇਸ ਗੱਲ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ ਸੰਭਵ ਹਨ ਕਿ ਪ੍ਰਦਾਤਾ ਬਲਾਕਿੰਗ ਕਿਵੇਂ ਕਰਦਾ ਹੈ। ਜੇ ਉਹ ਬੱਸ ਟ੍ਰੈਫਿਕ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ. ਅਤੇ ਜੇ ਉਹ ਇਸ ਨੂੰ ਕੁਝ ਡੀਪੀਆਈ ਵੱਲ ਰੀਡਾਇਰੈਕਟ ਕਰਦਾ ਹੈ, ਤਾਂ (ਸਿਧਾਂਤਕ ਤੌਰ 'ਤੇ) ਵਿਸ਼ੇਸ਼ ਪ੍ਰਭਾਵ ਸੰਭਵ ਹਨ.

ਇਹ ਵੀ ਸੰਭਵ ਹੈ ਕਿ ਕਲਾਇੰਟ DNS TTL ਚਮਤਕਾਰਾਂ ਦਾ ਸਤਿਕਾਰ ਨਹੀਂ ਕਰਦੇ, ਜਿਸ ਕਾਰਨ ਕਲਾਇੰਟ ਅਨਬਾਉਂਡ ਪੁੱਛਣ ਦੀ ਬਜਾਏ ਇਸਦੇ ਗੰਦੀ ਕੈਸ਼ ਵਿੱਚੋਂ ਕੁਝ ਪੁਰਾਣੀਆਂ ਐਂਟਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ।

ਅਭਿਆਸ ਵਿੱਚ, ਨਾ ਤਾਂ ਪਹਿਲੀ ਅਤੇ ਨਾ ਹੀ ਦੂਜੀ ਨੇ ਮੇਰੇ ਲਈ ਸਮੱਸਿਆਵਾਂ ਪੈਦਾ ਕੀਤੀਆਂ, ਪਰ ਤੁਹਾਡਾ ਮਾਈਲੇਜ ਵੱਖਰਾ ਹੋ ਸਕਦਾ ਹੈ।

ਸਰਵਰ ਟਿਊਨਿੰਗ

ਰੋਲਿੰਗ ਦੀ ਸੌਖ ਲਈ, ਮੈਂ ਲਿਖਿਆ ਜਵਾਬਦੇਹ ਲਈ ਭੂਮਿਕਾ. ਇਹ ਲੀਨਕਸ ਦੇ ਅਧਾਰ ਤੇ ਸਰਵਰ ਅਤੇ ਕਲਾਇੰਟ ਦੋਵਾਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰ ਸਕਦਾ ਹੈ (ਡੀਬ-ਅਧਾਰਿਤ ਵੰਡਾਂ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ)। ਸਾਰੀਆਂ ਸੈਟਿੰਗਾਂ ਕਾਫ਼ੀ ਸਪੱਸ਼ਟ ਹਨ ਅਤੇ ਸੈੱਟ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ inventory.yml. ਇਹ ਭੂਮਿਕਾ ਮੇਰੀ ਵੱਡੀ ਪਲੇਬੁੱਕ ਵਿੱਚੋਂ ਕੱਟੀ ਗਈ ਹੈ, ਇਸਲਈ ਇਸ ਵਿੱਚ ਗਲਤੀਆਂ ਹੋ ਸਕਦੀਆਂ ਹਨ - ਬੇਨਤੀਆਂ ਨੂੰ ਖਿੱਚੋ ਜੀ ਆਇਆਂ ਨੂੰ 🙂

ਆਉ ਮੁੱਖ ਭਾਗਾਂ ਵਿੱਚੋਂ ਲੰਘੀਏ.

ਬੀ.ਜੀ.ਪੀ

ਇੱਕੋ ਹੋਸਟ 'ਤੇ ਦੋ BGP ਡੈਮਨ ਚਲਾਉਣ ਨਾਲ ਇੱਕ ਬੁਨਿਆਦੀ ਸਮੱਸਿਆ ਹੈ: BIRD ਲੋਕਲਹੋਸਟ (ਜਾਂ ਕਿਸੇ ਸਥਾਨਕ ਇੰਟਰਫੇਸ) ਨਾਲ BGP ਪੀਅਰਿੰਗ ਸੈੱਟਅੱਪ ਨਹੀਂ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹੈ। ਬਿਲਕੁਲ ਸ਼ਬਦ ਤੋਂ. ਗੂਗਲਿੰਗ ਅਤੇ ਮੇਲਿੰਗ-ਲਿਸਟਾਂ ਨੂੰ ਪੜ੍ਹਨਾ ਮਦਦ ਨਹੀਂ ਕਰਦਾ, ਉਹ ਦਾਅਵਾ ਕਰਦੇ ਹਨ ਕਿ ਇਹ ਡਿਜ਼ਾਈਨ ਦੁਆਰਾ ਹੈ. ਸ਼ਾਇਦ ਕੋਈ ਤਰੀਕਾ ਹੈ, ਪਰ ਮੈਨੂੰ ਇਹ ਨਹੀਂ ਮਿਲਿਆ.

ਤੁਸੀਂ ਇੱਕ ਹੋਰ BGP ਡੈਮਨ ਅਜ਼ਮਾ ਸਕਦੇ ਹੋ, ਪਰ ਮੈਨੂੰ BIRD ਪਸੰਦ ਹੈ ਅਤੇ ਇਹ ਮੇਰੇ ਦੁਆਰਾ ਹਰ ਥਾਂ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਮੈਂ ਇਕਾਈਆਂ ਪੈਦਾ ਨਹੀਂ ਕਰਨਾ ਚਾਹੁੰਦਾ।

ਇਸ ਲਈ, ਮੈਂ dnstap-bgp ਨੂੰ ਨੈੱਟਵਰਕ ਨੇਮਸਪੇਸ ਦੇ ਅੰਦਰ ਲੁਕਾ ਦਿੱਤਾ ਹੈ, ਜੋ ਕਿ ਵੈਥ ਇੰਟਰਫੇਸ ਰਾਹੀਂ ਰੂਟ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ: ਇਹ ਇੱਕ ਪਾਈਪ ਵਰਗਾ ਹੈ, ਜਿਸ ਦੇ ਸਿਰੇ ਵੱਖ-ਵੱਖ ਨਾਮ-ਸਥਾਨਾਂ ਵਿੱਚ ਚਿਪਕ ਜਾਂਦੇ ਹਨ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰੇਕ ਸਿਰੇ 'ਤੇ, ਅਸੀਂ ਪ੍ਰਾਈਵੇਟ p2p IP ਐਡਰੈੱਸ ਲਟਕਦੇ ਹਾਂ ਜੋ ਹੋਸਟ ਤੋਂ ਬਾਹਰ ਨਹੀਂ ਜਾਂਦੇ, ਇਸ ਲਈ ਉਹ ਕੁਝ ਵੀ ਹੋ ਸਕਦੇ ਹਨ। ਇਹ ਉਹੀ ਵਿਧੀ ਹੈ ਜੋ ਅੰਦਰ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ ਸਭ ਦੁਆਰਾ ਪਿਆਰ ਕੀਤਾ ਡੌਕਰ ਅਤੇ ਹੋਰ ਕੰਟੇਨਰ।

ਇਸ ਲਈ ਇਹ ਲਿਖਿਆ ਗਿਆ ਸੀ ਸਕ੍ਰਿਪਟ ਅਤੇ ਆਪਣੇ ਆਪ ਨੂੰ ਵਾਲਾਂ ਦੁਆਰਾ ਕਿਸੇ ਹੋਰ ਨੇਮਸਪੇਸ ਵਿੱਚ ਖਿੱਚਣ ਲਈ ਉੱਪਰ ਦੱਸੇ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ dnstap-bgp ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਸੀ। ਇਸਦੇ ਕਾਰਨ, ਇਸਨੂੰ ਰੂਟ ਦੇ ਤੌਰ ਤੇ ਚਲਾਇਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਜਾਂ setcap ਕਮਾਂਡ ਦੁਆਰਾ CAP_SYS_ADMIN ਬਾਈਨਰੀ ਨੂੰ ਜਾਰੀ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਨੇਮਸਪੇਸ ਬਣਾਉਣ ਲਈ ਉਦਾਹਰਨ ਸਕ੍ਰਿਪਟ

#!/bin/bash

NS="dtap"

IP="/sbin/ip"
IPNS="$IP netns exec $NS $IP"

IF_R="veth-$NS-r"
IF_NS="veth-$NS-ns"

IP_R="192.168.149.1"
IP_NS="192.168.149.2"

/bin/systemctl stop dnstap-bgp || true

$IP netns del $NS > /dev/null 2>&1
$IP netns add $NS

$IP link add $IF_R type veth peer name $IF_NS
$IP link set $IF_NS netns $NS

$IP addr add $IP_R remote $IP_NS dev $IF_R
$IP link set $IF_R up

$IPNS addr add $IP_NS remote $IP_R dev $IF_NS
$IPNS link set $IF_NS up

/bin/systemctl start dnstap-bgp

dnstap-bgp.conf

namespace = "dtap"
domains = "/var/cache/rkn_domains.txt"
ttl = "168h"

[dnstap]
listen = "/tmp/dnstap.sock"
perm = "0666"

[bgp]
as = 65000
routerid = "192.168.149.2"

peers = [
    "192.168.149.1",
]

bird.conf

router id 192.168.1.1;

table rkn;

# Clients
protocol bgp bgp_client1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.2 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    export all;
    import none;
}

# DNSTap-BGP
protocol bgp bgp_dnstap {
    table rkn;
    local as 65000;
    neighbor 192.168.149.2 as 65000;
    direct;
    passive on;
    rr client;
    import all;
    export none;
}

# Static routes list
protocol static static_rkn {
    table rkn;
    include "rkn_routes.list";
    import all;
    export none;
}

rkn_routes.list

route 3.226.79.85/32 via "ens3";
route 18.236.189.0/24 via "ens3";
route 3.224.21.0/24 via "ens3";
...

DNS ਨੂੰ

ਮੂਲ ਰੂਪ ਵਿੱਚ, ਉਬੰਟੂ ਵਿੱਚ, ਅਨਬਾਉਂਡ ਬਾਈਨਰੀ ਨੂੰ ਐਪਆਰਮਰ ਪ੍ਰੋਫਾਈਲ ਦੁਆਰਾ ਕਲੈਂਪ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਇਸਨੂੰ ਹਰ ਕਿਸਮ ਦੇ DNSTap ਸਾਕਟਾਂ ਨਾਲ ਜੁੜਨ ਤੋਂ ਮਨ੍ਹਾ ਕਰਦਾ ਹੈ। ਤੁਸੀਂ ਜਾਂ ਤਾਂ ਇਸ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਮਿਟਾ ਸਕਦੇ ਹੋ, ਜਾਂ ਇਸਨੂੰ ਅਯੋਗ ਕਰ ਸਕਦੇ ਹੋ:

# cd /etc/apparmor.d/disable && ln -s ../usr.sbin.unbound .
# apparmor_parser -R /etc/apparmor.d/usr.sbin.unbound

ਇਹ ਸ਼ਾਇਦ ਪਲੇਬੁੱਕ ਵਿੱਚ ਜੋੜਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਆਦਰਸ਼ ਹੈ, ਬੇਸ਼ਕ, ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਠੀਕ ਕਰਨਾ ਅਤੇ ਜ਼ਰੂਰੀ ਅਧਿਕਾਰ ਜਾਰੀ ਕਰਨਾ, ਪਰ ਮੈਂ ਬਹੁਤ ਆਲਸੀ ਸੀ.

unbound.conf

server:
    chroot: ""
    port: 53
    interface: 0.0.0.0
    root-hints: "/var/lib/unbound/named.root"
    auto-trust-anchor-file: "/var/lib/unbound/root.key"
    access-control: 192.168.0.0/16 allow

remote-control:
    control-enable: yes
    control-use-cert: no

dnstap:
    dnstap-enable: yes
    dnstap-socket-path: "/tmp/dnstap.sock"
    dnstap-send-identity: no
    dnstap-send-version: no

    dnstap-log-client-response-messages: yes

ਸੂਚੀਆਂ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨਾ ਅਤੇ ਪ੍ਰੋਸੈਸ ਕਰਨਾ

IP ਪਤਿਆਂ ਦੀ ਸੂਚੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਪ੍ਰੋਸੈਸ ਕਰਨ ਲਈ ਸਕ੍ਰਿਪਟ
ਇਹ ਸੂਚੀ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ, ਅਗੇਤਰ ਤੱਕ ਜੋੜਦਾ ਹੈ pfx. The ਨਾ_ਜੋੜੋ и ਨਾ_ਸੰਖੇਪ ਕਰੋ ਤੁਸੀਂ IPs ਅਤੇ ਨੈੱਟਵਰਕਾਂ ਨੂੰ ਛੱਡਣ ਜਾਂ ਸੰਖੇਪ ਨਾ ਕਰਨ ਲਈ ਕਹਿ ਸਕਦੇ ਹੋ। ਮੈਨੂੰ ਇਸਦੀ ਲੋੜ ਸੀ। ਮੇਰੇ VPS ਦਾ ਸਬਨੈੱਟ ਬਲਾਕਲਿਸਟ 🙂 ਵਿੱਚ ਸੀ

ਮਜ਼ੇਦਾਰ ਗੱਲ ਇਹ ਹੈ ਕਿ RosKomSvoboda API ਡਿਫੌਲਟ ਪਾਈਥਨ ਉਪਭੋਗਤਾ ਏਜੰਟ ਨਾਲ ਬੇਨਤੀਆਂ ਨੂੰ ਰੋਕਦਾ ਹੈ. ਲੱਗਦਾ ਹੈ ਕਿ ਸਕ੍ਰਿਪਟ-ਬੱਚੇ ਨੂੰ ਮਿਲ ਗਿਆ ਹੈ। ਇਸ ਲਈ, ਅਸੀਂ ਇਸਨੂੰ ਓਗਨੇਲਿਸ ਵਿੱਚ ਬਦਲਦੇ ਹਾਂ.

ਹੁਣ ਤੱਕ, ਇਹ ਸਿਰਫ਼ IPv4 ਨਾਲ ਕੰਮ ਕਰਦਾ ਹੈ। IPv6 ਦਾ ਸ਼ੇਅਰ ਛੋਟਾ ਹੈ, ਪਰ ਇਸਨੂੰ ਠੀਕ ਕਰਨਾ ਆਸਾਨ ਹੋਵੇਗਾ। ਜਦੋਂ ਤੱਕ ਤੁਹਾਨੂੰ ਬਰਡ6 ਦੀ ਵੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਨੀ ਪਵੇਗੀ।

rkn.py

#!/usr/bin/python3

import json, urllib.request, ipaddress as ipa

url = 'https://api.reserve-rbl.ru/api/v2/ips/json'
pfx = '24'

dont_summarize = {
    # ipa.IPv4Network('1.1.1.0/24'),
}

dont_add = {
    # ipa.IPv4Address('1.1.1.1'),
}

req = urllib.request.Request(
    url,
    data=None, 
    headers={
        'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_9_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/35.0.1916.47 Safari/537.36'
    }
)

f = urllib.request.urlopen(req)
ips = json.loads(f.read().decode('utf-8'))

prefix32 = ipa.IPv4Address('255.255.255.255')

r = {}
for i in ips:
    ip = ipa.ip_network(i)
    if not isinstance(ip, ipa.IPv4Network):
        continue

    addr = ip.network_address

    if addr in dont_add:
        continue

    m = ip.netmask
    if m != prefix32:
        r[m] = [addr, 1]
        continue

    sn = ipa.IPv4Network(str(addr) + '/' + pfx, strict=False)

    if sn in dont_summarize:
        tgt = addr
    else:
        tgt = sn

    if not sn in r:
        r[tgt] = [addr, 1]
    else:
        r[tgt][1] += 1

o = []
for n, v in r.items():
    if v[1] == 1:
        o.append(str(v[0]) + '/32')
    else:
        o.append(n)

for k in o:
    print(k)

ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਸਕ੍ਰਿਪਟ
ਮੈਂ ਇਸਨੂੰ ਦਿਨ ਵਿੱਚ ਇੱਕ ਵਾਰ ਤਾਜ ਉੱਤੇ ਚਲਾਉਂਦਾ ਹਾਂ, ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਇਸਨੂੰ ਹਰ 4 ਘੰਟਿਆਂ ਵਿੱਚ ਖਿੱਚਣ ਦੇ ਯੋਗ ਹੋਵੇ। ਇਹ, ਮੇਰੀ ਰਾਏ ਵਿੱਚ, ਇਹ ਨਵਿਆਉਣ ਦੀ ਮਿਆਦ ਹੈ ਜੋ RKN ਨੂੰ ਪ੍ਰਦਾਤਾਵਾਂ ਤੋਂ ਲੋੜੀਂਦੀ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਉਹਨਾਂ ਕੋਲ ਕੁਝ ਹੋਰ ਅਤਿ-ਜ਼ਰੂਰੀ ਬਲਾਕਿੰਗ ਹੈ, ਜੋ ਤੇਜ਼ੀ ਨਾਲ ਪਹੁੰਚ ਸਕਦੇ ਹਨ।

ਹੇਠ ਲਿਖੇ ਕੰਮ ਕਰਦਾ ਹੈ:

• ਪਹਿਲੀ ਸਕ੍ਰਿਪਟ ਚਲਾਉਂਦਾ ਹੈ ਅਤੇ ਰੂਟਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਅੱਪਡੇਟ ਕਰਦਾ ਹੈ (rkn_routes.list) BIRD ਲਈ
• BIRD ਨੂੰ ਰੀਲੋਡ ਕਰੋ
• dnstap-bgp ਲਈ ਡੋਮੇਨਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਅੱਪਡੇਟ ਅਤੇ ਸਾਫ਼ ਕਰਦਾ ਹੈ
• dnstap-bgp ਨੂੰ ਰੀਲੋਡ ਕਰੋ

rkn_update.sh

#!/bin/bash

ROUTES="/etc/bird/rkn_routes.list"
DOMAINS="/var/cache/rkn_domains.txt"

# Get & summarize routes
/opt/rkn.py | sed 's/(.*)/route 1 via "ens3";/' > $ROUTES.new

if [ $? -ne 0 ]; then
    rm -f $ROUTES.new
    echo "Unable to download RKN routes"
    exit 1
fi

if [ -e $ROUTES ]; then
    mv $ROUTES $ROUTES.old
fi

mv $ROUTES.new $ROUTES

/bin/systemctl try-reload-or-restart bird

# Get domains
curl -s https://api.reserve-rbl.ru/api/v2/domains/json -o - | jq -r '.[]' | sed 's/^*.//' | sort | uniq > $DOMAINS.new

if [ $? -ne 0 ]; then
    rm -f $DOMAINS.new
    echo "Unable to download RKN domains"
    exit 1
fi

if [ -e $DOMAINS ]; then
    mv $DOMAINS $DOMAINS.old
fi

mv $DOMAINS.new $DOMAINS

/bin/systemctl try-reload-or-restart dnstap-bgp

ਉਹ ਬਿਨਾਂ ਸੋਚੇ-ਸਮਝੇ ਲਿਖੇ ਗਏ ਸਨ, ਇਸ ਲਈ ਜੇ ਤੁਸੀਂ ਕੁਝ ਅਜਿਹਾ ਦੇਖਦੇ ਹੋ ਜਿਸ ਨੂੰ ਸੁਧਾਰਿਆ ਜਾ ਸਕਦਾ ਹੈ - ਇਸ ਲਈ ਜਾਓ।

ਕਲਾਇੰਟ ਸੈੱਟਅੱਪ

ਇੱਥੇ ਮੈਂ ਲੀਨਕਸ ਰਾਊਟਰਾਂ ਲਈ ਉਦਾਹਰਣ ਦੇਵਾਂਗਾ, ਪਰ ਮਿਕਰੋਟਿਕ / ਸਿਸਕੋ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਇਹ ਹੋਰ ਵੀ ਆਸਾਨ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ.

ਪਹਿਲਾਂ, ਅਸੀਂ BIRD ਸੈਟ ਅਪ ਕਰਦੇ ਹਾਂ:

bird.conf

router id 192.168.1.2;
table rkn;

protocol device {
    scan time 10;
};

# Servers
protocol bgp bgp_server1 {
    table rkn;
    local as 65000;
    neighbor 192.168.1.1 as 65000;
    direct;
    bfd on;
    next hop self;
    graceful restart;
    graceful restart time 60;
    rr client;
    export none;
    import all;
}

protocol kernel {
    table rkn;
    kernel table 222;
    scan time 10;
    export all;
    import none;
}

ਇਸ ਤਰ੍ਹਾਂ, ਅਸੀਂ BGP ਤੋਂ ਪ੍ਰਾਪਤ ਰੂਟਾਂ ਨੂੰ ਕਰਨਲ ਰੂਟਿੰਗ ਟੇਬਲ ਨੰਬਰ 222 ਨਾਲ ਸਮਕਾਲੀ ਕਰਾਂਗੇ।

ਉਸ ਤੋਂ ਬਾਅਦ, ਡਿਫੌਲਟ ਨੂੰ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਕਰਨਲ ਨੂੰ ਇਸ ਪਲੇਟ ਨੂੰ ਦੇਖਣ ਲਈ ਕਹਿਣਾ ਕਾਫ਼ੀ ਹੈ:

# ip rule add from all pref 256 lookup 222
# ip rule
0:  from all lookup local
256:    from all lookup 222
32766:  from all lookup main
32767:  from all lookup default

ਸਭ ਕੁਝ, ਇਹ ਸਰਵਰ ਦੇ ਸੁਰੰਗ IP ਐਡਰੈੱਸ ਨੂੰ DNS ਵਜੋਂ ਵੰਡਣ ਲਈ ਰਾਊਟਰ 'ਤੇ DHCP ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ ਬਾਕੀ ਹੈ, ਅਤੇ ਸਕੀਮ ਤਿਆਰ ਹੈ।

shortcomings

ਡੋਮੇਨਾਂ ਦੀ ਸੂਚੀ ਬਣਾਉਣ ਅਤੇ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਲਈ ਮੌਜੂਦਾ ਐਲਗੋਰਿਦਮ ਦੇ ਨਾਲ, ਇਸ ਵਿੱਚ ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਸ਼ਾਮਲ ਹਨ, youtube.com ਅਤੇ ਇਸਦੇ CDNs.

ਅਤੇ ਇਹ ਇਸ ਤੱਥ ਵੱਲ ਖੜਦਾ ਹੈ ਕਿ ਸਾਰੇ ਵੀਡੀਓ ਵੀਪੀਐਨ ਰਾਹੀਂ ਜਾਣਗੇ, ਜੋ ਪੂਰੇ ਚੈਨਲ ਨੂੰ ਬੰਦ ਕਰ ਸਕਦਾ ਹੈ. ਸ਼ਾਇਦ ਇਹ ਪ੍ਰਸਿੱਧ ਡੋਮੇਨਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਨੂੰ ਕੰਪਾਇਲ ਕਰਨ ਦੇ ਯੋਗ ਹੈ-ਬੇਦਖਲੀ ਜੋ ਕਿ ਸਮੇਂ ਲਈ ਆਰਕੇਐਨ ਨੂੰ ਬਲੌਕ ਕਰਦੇ ਹਨ, ਹਿੰਮਤ ਪਤਲੇ ਹਨ. ਅਤੇ ਪਾਰਸ ਕਰਨ ਵੇਲੇ ਉਹਨਾਂ ਨੂੰ ਛੱਡ ਦਿਓ।

ਸਿੱਟਾ

ਵਰਣਿਤ ਵਿਧੀ ਤੁਹਾਨੂੰ ਲਗਭਗ ਕਿਸੇ ਵੀ ਬਲਾਕਿੰਗ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ ਜੋ ਪ੍ਰਦਾਤਾ ਵਰਤਮਾਨ ਵਿੱਚ ਲਾਗੂ ਕਰਦੇ ਹਨ.

ਅਸਲ ਵਿੱਚ, dnstap-bgp ਕਿਸੇ ਹੋਰ ਉਦੇਸ਼ ਲਈ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ ਜਿੱਥੇ ਡੋਮੇਨ ਨਾਮ ਦੇ ਆਧਾਰ 'ਤੇ ਟ੍ਰੈਫਿਕ ਨਿਯੰਤਰਣ ਦੇ ਕੁਝ ਪੱਧਰ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਬਸ ਯਾਦ ਰੱਖੋ ਕਿ ਸਾਡੇ ਸਮੇਂ ਵਿੱਚ, ਇੱਕ ਹਜ਼ਾਰ ਸਾਈਟਾਂ ਇੱਕੋ IP ਪਤੇ 'ਤੇ ਲਟਕ ਸਕਦੀਆਂ ਹਨ (ਉਦਾਹਰਣ ਲਈ, ਕੁਝ ਕਲਾਉਡਫਲੇਅਰ ਦੇ ਪਿੱਛੇ), ਇਸ ਲਈ ਇਸ ਵਿਧੀ ਦੀ ਘੱਟ ਸ਼ੁੱਧਤਾ ਹੈ.

ਪਰ ਤਾਲੇ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦੀਆਂ ਜ਼ਰੂਰਤਾਂ ਲਈ, ਇਹ ਕਾਫ਼ੀ ਹੈ.

ਜੋੜ, ਸੰਪਾਦਨ, ਪੁੱਲ ਬੇਨਤੀਆਂ - ਸੁਆਗਤ ਹੈ!

ਸਰੋਤ: www.habr.com