V tomto článku sa neberie do úvahy úplné nastavenie DPI a všetko s tým súvisiace, a vedecká hodnota textu je minimálna. Avšak popisuje najjednoduchší spôsob obídenia DPI, ktorý mnohé spoločnosti nebrali do úvahy.
Upozornenie č. 1: tento článok má výskumný charakter, nepodnecuje nikoho k podnikaniu a použitiu. Myšlienka je založená na osobnej skúsenosti a akékoľvek zhodné situácie sú náhodné.
Upozornenie č. 2: v článku nie sú odhalené tajomstvá Atlantídy, hľadanie Svätého Grálu a iné záhady vesmíru, celý materiál je voľne dostupný a mohol byť už mnohokrát popísaný na Hube. (nenašiel som, za odkaz budem vďačný)
Pre tých, ktorí si prečítali upozornenia, začnime.
Čo je to DPI?
DPI alebo Deep Packet Inspection — technológia zhromažďovania štatistických údajov, kontroly a filtrovania sieťových paketov analyzovaním nielen hlavičiek paketov, ale aj kompletného obsahu trafficu na úrovniach modelu OSI od druhej a vyššie, čo umožňuje odhaľovať a blokovať vírusy, filtrovať informácie, ktoré nespĺňajú stanovené kritériá.
Existujú dva typy pripojenia DPI, ktoré sú popísané. :
Pasívne DPI
DPI, pripojené do poskytovateľskej siete paralelne (nie v rezorte) buď cez pasívny optický splitter, alebo s použitím mirrorovania odchádzajúceho trafficu od používateľov. Takéto pripojenie neznižuje rýchlosť práce siete poskytovateľa v prípade nedostatočnej výkonnosti DPI, a preto sa používa u veľkých poskytovateľov. DPI s týmto typom pripojenia môže technicky len zistiť pokus o požiadanie o zakázané materiály, ale nemôže tomu zabrániť. Aby sa obídenie tohto obmedzenia a zablokovalo prístup na zakázanú stránku, DPI posiela užívateľovi, ktorý požaduje zakázané URL, špeciálne vytvorený HTTP paket s presmerovaním na stránku-zástupcu poskytovateľa, akoby takú odpoveď poslal sám požadovaný zdroj (fingovanie IP adresy odosielateľa a TCP sekvencia). Z dôvodu, že DPI je fyzicky umiestnené bližšie k užívateľovi ako požadovaná stránka, falošná odpoveď sa dostáva k zariadeniu užívateľa rýchlejšie ako skutočná odpoveď z stránky.
Aktívne DPI
Aktívne DPI je DPI, ktoré je pripojené k sieti poskytovateľa obvyklým spôsobom, ako každé iné sieťové zariadenie. Poskytovateľ nastavuje smerovanie tak, aby DPI získaval prenos od užívateľov k zablokovaným IP adresám alebo doménam, a DPI už prijíma rozhodnutie o prepustení alebo zablokovaní prenosu. Aktívne DPI môže kontrolovať ako odchádzajúci, tak aj prichádzajúci prenos, avšak ak poskytovateľ aplikuje DPI iba na blokovanie stránok z registra, najčastejšie je nastavené na kontrolu iba odchádzajúceho prenosu.
Typ pripojenia ovplyvňuje nielen účinnosť blokovania prenosu, ale aj záťaž na DPI, preto existuje možnosť nekontrolovať celý prenos, ale iba určitý:
„Normálne“ DPI
Pod „normálnym“ DPI sa rozumie také DPI, ktoré filtruje určitý typ prenosu iba na najrozšírenejších portoch pre tento typ. Napríklad „normálne“ DPI zistia a zablokujú zakázaný HTTP prenos iba na porte 80, HTTPS prenos na porte 443. Tento typ DPI nebude sledovať zakázaný obsah, ak pošlete požiadavku so zablokovanou URL na nezablokovanú IP alebo na neštandardný port.
„Úplné“ DPI
Na rozdiel od „normálneho“ DPI, tento typ DPI klasifikuje prenos bez ohľadu na IP adresu a port. Takýmto spôsobom nebude možné otvoriť zablokované stránky, aj keď použijete proxy server na úplne inom porte a nezablokovanej IP adrese.
Použitie DPI
Aby sa neznižovala rýchlosť prenosu dát, je potrebné použiť „Normálne“ pasívne DPI, ktoré efektívne blokuje akékokoľvek zdroje, prednastavenie vyzerá takto:
- HTTP sa filtruje iba na 80. porte
- HTTPS iba na 443. porte
- BitTorrent iba na portoch 6881-6889
Ale problémy sa začínajú, ak zdroj používa iný port, aby nestratil užívateľov, potom bude potrebné overiť každý paket, ako príklad môžeme uviesť:
- HTTP pracuje na portoch 80 a 8080
- HTTPS na portoch 443 a 8443
- BitTorrent na akomkoľvek inom rozsahu
Z tohto dôvodu bude potrebné buď prejsť na „Aktívne“ DPI, alebo použiť blokovanie pomocou ďalšieho DNS servera.
Blokovanie pomocou DNS
Jedným zo spôsobov, ako zablokovať prístup k zdroju, je zachytenie DNS dotazu pomocou lokálneho DNS servera a vrátenie používateľovi IP adresy "záplaty", nie požadovaného zdroja. Avšak to nezaručuje výsledok, pretože existuje možnosť zabrániť podvodnej výmene adresy:
Možnosť 1: Úprava súboru hosts (pre desktop)
Súbor hosts je neoddeliteľnou súčasťou každej operačnej sústavy, čo umožňuje jeho vždy použitie. Pre prístup k zdroju musí používateľ:
- Zistiť IP adresu požadovaného zdroja
- Otvoriť súbor hosts na úpravu (vyžaduje práva administrátora), ktorý sa nachádza na:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
- Pridať riadok v formáte:
- Uložiť zmeny
Prednosťou tohto spôsobu je jeho zložitost a požiadavka na administrátorské práva.
Možnosť 2: DoH (DNS over HTTPS) alebo DoT (DNS over TLS)
Tieto metódy umožňujú ochrániť pred podvodnou výmenou DNS dotazu pomocou šifrovania, avšak implementácia nie je podporovaná vo všetkých aplikáciách. Pozrime sa na jednoduchost nastavenia DoH pre Mozilla Firefox vo verzii 66 z pohľadu používateľa:
- Prejsť na adresu v Firefoxe
- Potvrdiť, že používateľ preberá celé riziko
- Zmení hodnotu parametra network.trr.mode na:
- 0 — vypnúť TRR
- 1 — automatický výber
- 2 — povoliť DoH predvolene
- Zmeniť parameter network.trr.uri výberom DNS servera
- Cloudflare DNS:
- Google DNS:
- Zmeniť parameter network.trr.boostrapAddress na:
- Ak je vybraný Cloudflare DNS: 1.1.1.1
- Ak je vybraný Google DNS: 8.8.8.8
- Zmení hodnotu parametra network.security.esni.enabled na true
- Skontrolovať správnosť nastavenia pomocou
Hoci je tento spôsob zložitejší, nevyžaduje od používateľa administrátorské práva, a existuje mnohé ďalšie spôsoby ochrany DNS dotazu, ktoré nie sú popísané v tomto článku.
Možnosť 3 (pre mobilné zariadenia):
Použitie aplikácie od Cloudflare pre a .
Testovanie
Na overenie nedostatku prístupu k zdrojom bol dočasne zakúpený domén, ktorý bol zablokovaný na území RF:
Záver
Dúfam, že tento článok bude užitočný a inšpiruje nielen administrátorov, aby sa podrobnejšie zaoberali touto témou, ale aj poskytne pochopenie, že zdroje budú vždy na strane používateľa, a hľadanie nových riešení by malo byť pre nich neoddeliteľnou súčasťou.
Užitočné odkazy
Doplnok mimo článkuTest na Cloudflare nemožno absolvovať v sieti operátora Tele2 a správne nastavený DPI blokuje prístup na testovaciu stránku.
P.S. Doteraz je to prvý poskytovateľ, ktorý správne blokuje zdroje.
Zdroj: habr.com
