Iptables dhe filtrimi i trafikut nga mendimtarët e varfër dhe të lenë

Rëndësia e bllokimit të vizitave të burimeve të ndaluara ndikon te çdo administrator, të cilit i mund të i paraqitet zyrtarisht moszbatimi i ligjit ose urdhrit të organeve përkatëse.

Pse të shpikim biçikletën kur kemi programe dhe distribuime të specializuara për detyrat tona, si: Zeroshell, pfSense, ClearOS.

Një tjetër pyetje doli nga drejtuesit: A ka produkti që përdorim një certifikatë sigurie nga shteti ynë?

Kemi pasur përvojë me distribuimet e përmendura:

• Zeroshell — zhvilluesit madje na dhuruan një licencë për 2 vjet, por u duk se distribuimi që na interesonte nuk përmbushte një funksion kritik për ne;
• pfSense — respekt dhe nderim, por po ashtu e mërzitshme, zakonimi me komandën e linjës së komandave të firewall-it FreeBSD dhe nuk është mjaft i përshtatshëm për ne (mendoj se ishte çështje zakoni, por del se nuk ishte "rruga e duhur");
• ClearOS — në harduerin tonë rezultoi shumë ngadalë, nuk arritëm të kryejmë testime serioze, pra përse i tillë të jenë ndërfaqet e rënda?
• Ideco SELECTA. Për produktin 'Aideco' është një diskutim tjetër, një produkt interesant, por për arsyet politike nuk është për ne, dhe do të doja të diskutoja për licencën e Linux, Roundcube etj. Nga e morën ata idenë se duke “e përshkuar” ndërfaqen në Python dhe duke marrë të drejtat e superpërdoruesit mund të shesin një produkt të përfunduar të përbërë nga modulet e zhvilluara dhe të përmirësuara nga komunat e internetit që shpërndahen sipas GPL&etc.

E kuptoj se tani do të fillojnë një valë ankesash nga ana ime me kërkesa për të arsyetuar detajisht ndjenjat e mia subjektive, por dua të them se ky nyje i rrjetit gjithashtu është një balancues trafiku për 4 kanale të jashtme drejt internetit, të cilët gjithashtu kanë veçoritë e tyre. Një nga problemet kryesore ishte nevoja për të punuar me një nga disa ndërfaqet e rrjetit në hapësira të ndryshme adresash, dhe unë jam i gatshëm të pranoj, që të përdor VLAN-at kudo dhe për çdo arsye unë nuk jam i gatshëm. Në përdorim kemi pajisje si TP-Link TL-R480T+ — nuk funksionojnë perfekt, por kanë nuancat e veta. Këtë pjesë në Linux arritëm ta konfiguroni në mënyrë të arsyeshme falë faqes zyrtare të Ubuntu. IP-Balancimi: bashkojmë disa kanale interneti në një. Çdo kanal mund të “bjerë” në çdo moment, siç mund të ngrihet. Nëse jeni të interesuar për skriptin që funksionon aktualisht (dhe kjo është një publikim i veçantë) — shkruani në komente.

Zgjidhja që po shqyrtojmë nuk pretendon për unikë, por do të doja të bëja një pyetje: “Pse në një ndërmarrje të përshtatemi me produkte të dyshimta me kërkesa materiale të rënda kur mund të shqyrtojmë një alternativë?”

Në Rusi ka një listë të Roskomnadzor, në Ukrainë — një aplikacion për Zgjidhjen e Këshillit të Sigurisë Kombëtare (p.sh. këtu), dhe në nivel lokal drejtorët gjithashtu nuk flejnë. Për shembull, na u dha një listë e faqeve të ndaluara, sipas mendimit të drejtuesit, që përkeqësojnë produktivitetin në vendin e punës.

Duke komunikuar me kolegë në ndërmarrje të tjera, ku në mënyrë të parazgjedhur janë të ndaluara të gjitha faqet dhe vetëm me kërkesë nga drejtori mund të fitosh akses në një faqe të caktuar, duke buzëqeshur me respekt, duke menduar dhe "duke e ndihmuar këtë problem", na erdhi në mendje se jeta ndonjëherë është e mirë dhe filluam kërkimin tonë.

Duke pasur mundësi jo vetëm të shohim analitikisht se çfarë shkruhen në "libra nga shtëpia" rreth filtrimit të trafikut, por edhe të shohim se çfarë ndodh në kanale të ndryshme të ofruesve, ne vumë re recetat e mëposhtme (çdo skrin pak i prishur, ju lutem kuptoni kërkesën):

Ofruesi 1
— nuk merret me detaje dhe imponon serverat e tij DNS dhe një server proksi transparent. Po çfarë?.. megjithatë kemi akses atje ku kemi nevojë (nëse na nevojitet :))

Ofruesi 2
— mendon se ofruesi i tij i lartë duhet ta mendojë këtë, dhe mbështetja teknike e ofruesit të lartë madje pranoi pse nuk mund të hap internetin e nevojshëm. Mendoj se pamja do t'ju bëjë të qeshni 🙂

Siç doli, ata i kthejnë emrat e faqeve të ndaluara në adresa IP dhe bllokojnë pikërisht IP-në (nuk shqetësohet se në këtë IP mund të ketë 20 faqe).

Ofruesi 3
— kalon trafikun atje, por nuk e lejon të kthehet pas në rrugë.

Ofruesi 4
— ndalon çdo manipulim me paketat në drejtimin e përcaktuar.

Çfarë duhet bërë me VPN (në shfletuesin Opera) dhe plaginjtë për shfletuesit? Duke eksperimentuar në fillim me nodet Mikrotik, ne madje arritëm një recetë shumë resurseve për L7, nga e cila më vonë na u desh të hiqnim dorë (emrat e ndaluar mund të jenë më shumë, është e trishtë kur, përveç detyrave të drejtpërdrejta për rruge, ngarkesa e procesorit PPC460GT arrin në 100% për 30 shprehje).

.

Çfarë u kuptua:
DNS në 127.0.0.1 nuk është një panacë, versionet moderne të shfletuesve e lejojnë kalimin e kësaj problematike. Nuk është e mundur të kufizosh të gjithë përdoruesit me të drejta të kufizuara, dhe nuk duhet harruar numri i madh i DNS-ve alternative. Interneti nuk është statik, dhe përveç adresave të reja të DNS, faqet e ndaluara blejnë adresa të reja, ndryshojnë emrat e domain-it të sipërm, mund të shtojnë/eliminojnë një simbol në adresën e tyre. Por gjithsesi ka të drejtë të ekzistojë diçka si:

ip route add blackhole 1.2.3.4

Mund të ishte mjaft efikase të merrnim një listë IP nga lista e faqeve të ndaluara, por për arsyet e përmendura më sipër, kaluam në mendime për Iptables. Një balancues aktiv ekzistonte tashmë në CentOS Linux release 7.5.1804.

Internetin e përdoruesit duhet të jetë i shpejtë, dhe shfletuesi nuk duhet të presë gjysmë minute, duke konkluduar se kjo faqe nuk është e disponueshme. Pas kërkimeve të gjata, arritëm në këtë model:
File 1 -> /script/denied_host, lista e emrave të ndaluar:

test.test
blablabla.bubu
torrent
porno

File 2 -> /script/denied_range, lista e hapësirave adresore dhe adresave të ndaluara:

192.168.111.0/24
241.242.0.0/16

File-skript 3 -> ipt.sh, që kryen punën me iptables:

# считываем полезную информацию из перечней файлов
HOSTS=`cat /script/denied_host | grep -v '^#'`
RANGE=`cat /script/denied_range | grep -v '^#'`
echo "Stopping firewall and allowing everyone..."
# сбрасываем все настройки iptables, разрешая то что не запрещено
sudo iptables -F
sudo iptables -X
sudo iptables -t nat -F
sudo iptables -t nat -X
sudo iptables -t mangle -F
sudo iptables -t mangle -X
sudo iptables -P INPUT ACCEPT
sudo iptables -P FORWARD ACCEPT
sudo iptables -P OUTPUT ACCEPT
#решаем обновить информацию о маршрутах (особенность нашей архитектуры)
sudo sh rout.sh
# циклически обрабатывая каждую строку файла применяем правило блокировки строки
for i in $HOSTS; do
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset;
sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP;
done
# циклически обрабатывая каждую строку файла применяем правило блокировки адреса
for i in $RANGE; do
sudo iptables -I FORWARD -p UDP -d $i -j DROP;
sudo iptables -I FORWARD -p TCP  -d $i -j REJECT --reject-with tcp-reset;
done

Përdorimi i sudo është i justifikuar sepse kemi një hile të vogël për menaxhimin përmes ndërfaqes WEB, por siç tregoi përvoja e përdorimit të këtij modeli për një periudhë më shumë se një vit, WEB nuk është kaq e nevojshme. Pas zbatimit, kishte dëshirë të regjistronim listën e faqeve në DB etj. Numri i hosteve të bllokuar është mbi 250 + dhjetë hapësira adresore. Në të vërtetë ka një problem kur kalon në një faqe përmes një lidhjeje HTTPS, si një administrator sistemi kam vërejtje ndaj shfletuesve :), por këto janë raste të veçanta, shumica e aktivizimeve pa akses në burim janë akoma nga ana jonë, gjithashtu bllokojmë me sukses Opera VPN, plaginjtë si friGate dhe telemetrinë nga Microsoft.

Burimi: habr.com