{"id":34402,"date":"2019-10-31T21:58:08","date_gmt":"2019-10-31T18:58:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/osobennosti-nastrojki-dpi\/"},"modified":"2019-10-31T21:58:08","modified_gmt":"2019-10-31T18:58:08","slug":"osobennosti-nastrojki-dpi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/osobennosti-nastrojki-dpi","title":{"rendered":"Cechy konfiguracji DPI","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W tym artykule nie omawiamy szczeg\u00f3\u0142owej konfiguracji DPI ani niczego z tym zwi\u0105zanego, a warto\u015b\u0107 naukowa tekstu jest minimalna. Opisuje on jednak najprostszy spos\u00f3b omijania DPI, kt\u00f3ry zosta\u0142 pomini\u0119ty przez wiele firm.<\/p>\n

\"Cechy
\n<\/a><\/noindex>
\nOstrze\u017cenie nr 1: niniejszy artyku\u0142 ma charakter badawczy, nie namawia nikogo do podejmowania jakichkolwiek dzia\u0142a\u0144 ani ich wykorzystywania. Idea opiera si\u0119 na osobistym do\u015bwiadczeniu, a wszelkie zbie\u017cno\u015bci s\u0105 przypadkowe.<\/i><\/p>\n

Ostrze\u017cenie nr 2: artyku\u0142 nie odkrywa tajemnic Atlantydy, poszukiwania \u015awi\u0119tego Graala ani innych tajemnic wszech\u015bwiata, ca\u0142y materia\u0142 jest og\u00f3lnodost\u0119pny i by\u0107 mo\u017ce by\u0142 opisany nie raz na Habrahabr. (Nie znalaz\u0142em, b\u0119d\u0119 wdzi\u0119czny za link)<\/i><\/p>\n

Dla tych, kt\u00f3rzy przeczytali ostrze\u017cenia, zaczynajmy.<\/p>\n

Czym jest DPI?<\/h3>\n

\nDPI, czyli Deep Packet Inspection \u2014 technologia gromadzenia danych statystycznych, sprawdzania i filtrowania pakiet\u00f3w sieciowych, analizuj\u0105c nie tylko nag\u0142\u00f3wki pakiet\u00f3w, ale tak\u017ce pe\u0142n\u0105 tre\u015b\u0107 ruchu na poziomach modelu OSI od drugiego wzwy\u017c, co pozwala wykrywa\u0107 i blokowa\u0107 wirusy, a tak\u017ce filtrowa\u0107 informacje, kt\u00f3re nie spe\u0142niaj\u0105 okre\u015blonych kryteri\u00f3w.<\/p>\n

Istniej\u0105 dwa typy po\u0142\u0105czenia DPI, kt\u00f3re s\u0105 opisane ValdikSS<\/a><\/noindex> na githubie<\/a><\/noindex>:<\/p>\n

Pasywne DPI <\/b><\/p>\n

DPI pod\u0142\u0105czone do sieci dostawcy r\u00f3wnolegle (nie w szereg) lub za pomoc\u0105 pasywnego rozdzielacza optycznego, albo z wykorzystaniem mirrorowania ruchu wychodz\u0105cego od u\u017cytkownik\u00f3w. Takie po\u0142\u0105czenie nie spowalnia pracy sieci dostawcy w przypadku niewystarczaj\u0105cej wydajno\u015bci DPI, dlatego stosowane jest przez du\u017cych dostawc\u00f3w. DPI z takim typem po\u0142\u0105czenia technicznie mo\u017ce jedynie wykrywa\u0107 pr\u00f3b\u0119 dost\u0119pu do zabronionej tre\u015bci, ale nie blokowa\u0107 jej. Aby obej\u015b\u0107 to ograniczenie i zablokowa\u0107 dost\u0119p do zabronionej strony, DPI wysy\u0142a do u\u017cytkownika, kt\u00f3ry \u017c\u0105da zablokowanego URL, specjalnie sformu\u0142owany pakiet HTTP z przekierowaniem na stron\u0119 zast\u0119pcz\u0105 dostawcy, jakby taka odpowied\u017a zosta\u0142a wys\u0142ana przez sam \u017c\u0105dany zas\u00f3b (fa\u0142szowany adres IP nadawcy i sekwencja TCP). Z racji tego, \u017ce DPI fizycznie znajduje si\u0119 bli\u017cej u\u017cytkownika ni\u017c \u017c\u0105dana strona, sfa\u0142szowana odpowied\u017a dociera do urz\u0105dzenia u\u017cytkownika szybciej ni\u017c prawdziwa odpowied\u017a ze strony.<\/p>\n

Aktywne DPI<\/b><\/p>\n

Aktywny DPI to DPI, kt\u00f3re jest pod\u0142\u0105czone do sieci dostawcy w spos\u00f3b tradycyjny, jak ka\u017cde inne urz\u0105dzenie sieciowe. Dostawca konfiguruje routing tak, aby DPI odbiera\u0142 ruch od u\u017cytkownik\u00f3w do zablokowanych adres\u00f3w IP lub domen, a DPI podejmuje decyzj\u0119 o przepuszczeniu lub zablokowaniu ruchu. Aktywny DPI mo\u017ce sprawdza\u0107 zar\u00f3wno ruch wychodz\u0105cy, jak i przychodz\u0105cy, jednak, je\u015bli dostawca stosuje DPI tylko do blokowania stron z rejestru, zazwyczaj konfiguruj\u0105 je tylko do sprawdzania ruchu wychodz\u0105cego.<\/p><\/blockquote>\n

\nRodzaj po\u0142\u0105czenia wp\u0142ywa nie tylko na efektywno\u015b\u0107 blokowania ruchu, ale r\u00f3wnie\u017c na obci\u0105\u017cenie DPI, dlatego istnieje mo\u017cliwo\u015b\u0107, aby nie sprawdza\u0107 ca\u0142ego ruchu, a tylko okre\u015blony:<\/p>\n

\u201eZwyk\u0142y\u201d DPI<\/b><\/p>\n

Przez \u201ezwyk\u0142y\u201d DPI rozumie si\u0119 taki DPI, kt\u00f3ry filtruje okre\u015blony typ ruchu tylko na najbardziej popularnych portach dla tego typu. Na przyk\u0142ad \u201ezwyk\u0142y\u201d DPI identyfikuje i blokuje niedozwolony ruch HTTP tylko na porcie 80, a ruch HTTPS na porcie 443. Tego typu DPI nie b\u0119dzie \u015bledzi\u0107 niedozwolonego kontentu, je\u015bli wy\u015blesz \u017c\u0105danie z zablokowanym URL na niezablokowanym IP lub niestandardowym porcie.<\/p>\n

\u201ePe\u0142ny\u201d DPI<\/b><\/p>\n

W przeciwie\u0144stwie do \u201ezwyk\u0142ego\u201d DPI, ten typ DPI klasyfikuje ruch bez wzgl\u0119du na adres IP i port. Tak wi\u0119c zablokowane strony nie b\u0119d\u0105 si\u0119 otwiera\u0107, nawet je\u015bli u\u017cywasz serwera proxy na zupe\u0142nie innym porcie i niezablokowanym adresie IP.<\/p><\/blockquote>\n

<\/p>\n

U\u017cycie DPI<\/h3>\n

\nAby nie obni\u017ca\u0107 pr\u0119dko\u015bci transmisji danych, nale\u017cy u\u017cywa\u0107 \u201eZwyk\u0142ego\u201d pasywnego DPI, kt\u00f3re pozwala na efektywne blokowanie wszelkich zasob\u00f3w, domy\u015blna konfiguracja wygl\u0105da nast\u0119puj\u0105co:<\/p>\n