Ta članek ne obravnava popolne nastavitve DPI in vsega, kar s tem povezano, znanstvena vrednost besedila pa je minimalna. V njem pa je opisana najpreprostejša metoda obvoda DPI, ki je ni upoštevalo veliko podjetij.
Opozorilo št. 1: ta članek je raziskovalne narave, ne spodbuja nikogar, da karkoli stori ali uporablja. Ideja temelji na osebni izkušnji, vsa morebitna naključja so naključna.
Opozorilo št. 2: v članku ne razkrivamo skrivnosti Atlantide, iskanja Svetega Grala in drugih ugank vesolja, ves material je dostopen in je morda bil večkrat opisan na Habu. (nisem našel, bil bi hvaležen za povezavo)
Za tiste, ki so prebrali opozorila, začnimo.
Kaj je DPI?
DPI ali Deep Packet Inspection je tehnologija zbiranja statističnih podatkov, preverjanja in filtriranja omrežnih paketov z analizo ne le naslovov paketov, temveč tudi celotne vsebine prometa na ravneh OSI modela od drugega in naprej, kar omogoča odkrivanje in blokiranje virusov ter filtriranje informacij, ki ne ustrezajo določenim kriterijem.
Obstajata dva tipa povezave DPI, ki sta opisana :
Pasivni DPI
DPI, ki je povezan v omrežje ponudnika hkrati (ne prek) bodisi preko pasivnega optičnega razdelilnika bodisi z uporabo ogledovanja odhodnega prometa uporabnikov. Takšna povezava ne upočasnjuje hitrosti omrežja ponudnika v primeru nezadostne zmogljivosti DPI, zaradi česar se uporablja pri večjih ponudnikih. DPI s to vrsto povezave lahko tehnično le ugotovi poskus zahtevka za prepovedano vsebino, vendar je ne more preprečiti. Da obide to omejitev in blokira dostop do prepovedane spletne strani, DPI pošlje uporabniku, ki zahteva blokiran URL, posebno oblikovan HTTP paket s preusmeritvijo na stran-uzurpacijo ponudnika, kot da je tak odgovor poslala zahteva spletne strani (posnema se IP-naslov pošiljatelja in TCP zaporedje). Zaradi tega, ker je DPI fizično bližje uporabniku kot zahtevana spletna stran, potuje ponarejeni odgovor do uporabnikove naprave hitreje kot pravi odgovor s spletne strani.
Aktivni DPI
Aktivni DPI je DPI koji je povezan na mrežu provajdera na uobičajen način, kao i bilo koji drugi mrežni uređaj. Provajder konfiguriše rutiranje tako da DPI prima saobraćaj od korisnika prema blokiranim IP adresama ili domenima, a DPI potom donosi odluku o prolasku ili blokiranju saobraćaja. Aktivni DPI može proveravati izlazni i ulazni saobraćaj, međutim, ako provajder koristi DPI samo za blokiranje sajtova iz registra, češće se konfiguriše da proverava samo izlazni saobraćaj.
Tip veze ne utiče samo na efikasnost blokiranja saobraćaja, već i na opterećenje na DPI, pa postoji mogućnost da se ne proverava sav saobraćaj, već samo određeni:
«Običan» DPI
Pod «običnim» DPI se podrazumeva DPI koji filtrira određeni tip saobraćaja samo na najčešćim portovima za taj tip. Na primer, «običan» DPI identifikuje i blokira zabranjeni HTTP saobraćaj samo na portu 80, HTTPS saobraćaj na portu 443. Ovaj tip DPI neće pratiti zabranjeni sadržaj ako pošaljete zahtev sa blokiranim URL-om na neblokirani IP ili nestandardni port.
«Potpuni» DPI
Za razliku od «običnog» DPI, ovaj tip DPI klasifikuje saobraćaj nezavisno od IP adrese i porta. Tako će zabranjeni sajtovi biti nedostupni, čak i ako koristite proxy server na potpuno drugom portu i neblokiranoj IP adresi.
Upotreba DPI
Da se ne bi smanjila brzina prenosa podataka, potrebno je koristiti «Obični» pasivni DPI, koji efikasno blokira bilo koji resurs. Po defaultu, konfiguracija izgleda ovako:
- HTTP filtrirati samo na portu 80
- HTTPS samo na portu 443
- BitTorrent samo na portovima 6881-6889
Ali problemi započinju kada resurs koristi drugi port, kako bi zadržao korisnike, tada će biti potrebno proveriti svaki paket, za primer možemo navesti:
- HTTP funkcioniše na portovima 80 i 8080
- HTTPS na portovima 443 i 8443
- BitTorrent na bilo kojem drugom opsegu
Zbog toga će biti potrebno ili preći na «Aktivni» DPI ili koristiti blokiranje putem dodatnog DNS servera.
Blokiranje putem DNS-a
Eden od načinov za blokiranje dostopa do vira je zajem DNS poizvedb z lokalnim DNS strežnikom in vračanje IP naslova "zastavice" namesto zahtevane vsebine. Vendar to ne prinaša zagotovljenega rezultata, saj obstaja možnost preprečitve zamenjave naslova:
Možnost 1: Ureditev datoteke hosts (za namizje)
Datoteka hosts je sestavni del vsakršnega operacijskega sistema, kar omogoča njeno uporabo. Za dostop do vira mora uporabnik:
- Ugotoviti IP naslov zahtevanega vira
- Odpreti za urejanje datoteko hosts (potrebna so administratorska dovoljenja), ki se nahaja v:
- Linux: /etc/hosts
- Windows: %WinDir%System32driversetchosts
- Dodati vrstico v formatu:
- Shrani spremembe
Prednost te metode je njena kompleksnost in zahteva administratorska dovoljenja.
Možnost 2: DoH (DNS preko HTTPS) ali DoT (DNS preko TLS)
Ti načini omogočajo zaščito pred zamenjavo DNS poizvedb s šifriranjem, vendar jih ne podpirajo vse aplikacije. Poglejmo enostavnost nastavitve DoH za Mozilla Firefox različico 66 s strani uporabnika:
- Pojdi na naslov v Firefoxu
- Potrdite, da uporabnik prevzema vso tveganje
- Spremenite vrednost parametra network.trr.mode na:
- 0 — onemogoči TRR
- 1 — samodejna izbira
- 2 — omogoči DoH privzeto
- Spremeni parameter network.trr.uri izbira DNS strežnika
- Cloudflare DNS:
- Google DNS:
- Spremeni parameter network.trr.boostrapAddress na:
- Če je izbran Cloudflare DNS: 1.1.1.1
- Če je izbran Google DNS: 8.8.8.8
- Spremenite vrednost parametra network.security.esni.enabled na true
- Preverite pravilnost nastavitve s pomočjo
Čeprav je ta način bolj zapleten, ne zahteva administratorskih dovoljenj uporabnika, poleg tega pa obstaja še veliko drugih načinov zaščite DNS poizvedb, ki niso opisani v tem članku.
Možnost 3 (za mobilne naprave):
Uporaba aplikacije Cloudflare za in .
Testiranje
Za preverjanje, da ni dostopa do virov, je bil začasno kupljen domenski naslov, ki je bil blokiran na ozemlju RF:
Zaključek
Upam, da bo ta članek koristen in ne le motiviral skrbnike, da se bolj poglobijo v to temo, temveč tudi pomagal razumeti, da vsi viri bodo vedno na strani uporabnika in iskanje novih rešitev bi moralo biti zanje nepogrešljivo.
Koristne poveznice
Dodatak van člankaTest na Cloudflare se ne može savladati u mreži operatera Tele2, a pravilno podešen DPI blokira pristup testnoj platformi.
P.S. Ovo je prvi provajder koji ispravno blokira resurse.
Izvor: habr.com
