Inställningar av DPI

Denna artikel behandlar inte fullständig konfigurering av DPI och har minimal vetenskaplig värde. Men den beskriver ett enkelt sätt att kringgå DPI, vilket många företag inte har beaktat.

Varning №1: denna artikel har en undersökande karaktär och uppmanar ingen att vidta några åtgärder eller använda något. Idén är baserad på personlig erfarenhet, och alla likheter är slumpmässiga.

Varning №2: artikeln avslöjar inte hemligheterna om Atlantis, sökandet efter den heliga graalen eller andra universums mysterier; allt material finns fritt tillgängligt och har kanske beskrivits flera gånger på Habré. (jag har inte hittat det, jag skulle uppskatta en länk)

För dem som har läst varningarna, låt oss börja.

Vad är DPI?

DPI eller Deep Packet Inspection är en teknologi för insamling av statistik, kontroll och filtrering av nätverkspaket genom att analysera inte bara paketens rubriker utan även hela innehållet i trafiken på OSI-modellens nivåer två och högre, vilket möjliggör upptäckten och blockeringen av virus, samt filtrering av information som inte överensstämmer med angivna kriterier.

Det finns två typer av DPI-anslutningar som beskrivs ValdikSS på github:

Passiv DPI

DPI som är ansluten till leverantörens nätverk parallellt (inte i skärning) antingen via en passiv optisk splitter eller genom att spegla utgående användartrafik. En sådan anslutning saktar inte ner hastigheten på leverantörens nätverk ifall DPI:s prestanda är otillräcklig, vilket gör att den används av stora leverantörer. DPI med denna typ av anslutning kan tekniskt sett bara identifiera försök att begära förbjudet innehåll, men kan inte stoppa det. För att kringgå denna begränsning och blockera tillgången till en förbjuden webbplats skickar DPI till den användare som begär den blockerade URL:en ett särskilt formaterat HTTP-paket som omdirigerar till leverantörens avstängningssida, ungefär som om ett sådant svar kom från den begärda resursen (avsändarens IP-adress och TCP-sekvens förfalskas). Eftersom DPI är fysiskt närmare användaren än den begärda webbplatsen, når det förfalskade svaret användarens enhet snabbare än det verkliga svaret från webbplatsen.

Aktiv DPI

Aktiv DPI – en DPI som är ansluten till leverantörens nätverk på ett vanligt sätt, precis som vilken annan nätverksenhet som helst. Leverantören konfigurerar rutten så att DPI får trafik från användare till blockerade IP-adresser eller domäner, och DPI fattar sedan beslut om att släppa igenom eller blockera trafiken. Aktiv DPI kan kontrollera både utgående och inkommande trafik, men om leverantören använder DPI endast för att blockera webbplatser från registret är det oftast inställt för att kontrollera endast utgående trafik.

Typen av anslutning påverkar inte bara effektiviteten av att blockera trafik, utan också belastningen på DPI, så det finns möjlighet att inte kontrollera all trafik, utan endast specifik:

«Vanlig» DPI

Med «vanlig» DPI avses en DPI som filtrerar en viss typ av trafik endast på de mest använda portarna för denna typ. Till exempel identifierar och blockerar «vanlig» DPI förbjuden HTTP-trafik endast på port 80, HTTPS-trafik på port 443. Denna typ av DPI kommer inte att övervaka förbjudet innehåll om du skickar en begäran med en blockerad URL till en oblockerad IP eller icke-standardport.

«Fullständig» DPI

Till skillnad från «vanlig» DPI klassificerar denna typ av DPI trafik oavsett IP-adress och port. På så sätt kommer blockerade webbplatser inte att öppnas, även om du använder en proxyserver på en helt annan port och med en oblockerad IP-adress.

Användning av DPI

För att inte sänka dataöverföringshastigheten krävs det att man använder «Vanlig» passiv DPI, som effektivt blockerar alla resurser, i standardkonfigurationen ser det ut så här:

• HTTP filtrera endast på port 80
• HTTPS endast på port 443
• BitTorrent endast på portarna 6881–6889

Men problemen börjar om resursen använder en annan port för att inte förlora användare, då måste varje paket kontrolleras, som exempel kan nämnas:

• HTTP fungerar på port 80 och 8080
• HTTPS på port 443 och 8443
• BitTorrent på vilket annat intervall som helst

På grund av detta måste man antingen gå över till «Aktiv» DPI eller använda blockering via en ytterligare DNS-server.

Blockering med hjälp av DNS

Ett sätt att blockera tillgång till en resurs är att fånga DNS-förfrågningar med hjälp av en lokal DNS-server och returnera en "stubb"-IP-adress istället för den begärda resursen. Men detta ger inget garanterat resultat, eftersom det finns möjlighet att förhindra att adressen byts ut:

Alternativ 1: Redigera hosts-filen (för skrivbordet)

Hosts-filen är en integrerad del av alla operativsystem, vilket gör att den alltid kan användas. För att få åtkomst till resursen måste användaren:

1. Ta reda på IP-adressen till den begärda resursen
2. Öppna hosts-filen för redigering (administratörsrättigheter krävs) som ligger i:
   • Linux: /etc/hosts
   • Windows: %WinDir%System32driversetchosts
3. Lägga till en rad i formatet:
4. Spara ändringarna

Fördelen med denna metod är att den är komplicerad och kräver administrativa rättigheter.

Alternativ 2: DoH (DNS över HTTPS) eller DoT (DNS över TLS)

Dessa metoder skyddar mot att DNS-förfrågningar byts ut genom att använda kryptering, men implementeringen stöds inte av alla applikationer. Vi tittar på hur enkelt det är att konfigurera DoH i Mozilla Firefox version 66 ur användarens perspektiv:

1. Gå till adressen about:config i Firefox
2. Bekräfta att användaren tar hela risken
3. Ändra värdet på parametern network.trr.mode till:
   • 0 - inaktivera TRR
   • 1 - automatisk val
   • 2 - aktivera DoH som standard
4. Ändra parametern network.trr.uri genom att välja DNS-server
   • Cloudflare DNS: mozilla.cloudflare-dns.com/dns-query
   • Google DNS: dns.google.com/experimental
5. Ändra parametern network.trr.boostrapAddress till:
   • Om Cloudflare DNS valts: 1.1.1.1
   • Om Google DNS valts: 8.8.8.8
6. Ändra värdet på parametern network.security.esni.enabled till true
7. Kontrollera inställningarna med hjälp av Cloudflare-tjänsten

Även om denna metod är mer komplicerad kräver den inte att användaren har administrativa rättigheter, och det finns dessutom många andra sätt att skydda DNS-förfrågan som inte beskrivs i denna artikel.

Alternativ 3 (för mobila enheter):

Använda Cloudflare-appen för Android och iOS.

Testning

För att kontrollera att det inte går att få åtkomst till resurser köptes en domän som blockerats i Ryssland tillfälligt:

• HTTP-kontroll + port 80
• HTTP-kontroll + port 8080
• HTTPS-kontroll + port 443
• HTTPS-kontroll + port 8443

Slutsats

Jag hoppas att denna artikel kommer att vara användbar och uppmuntra inte bara administratörer att gräva djupare i ämnet, utan också ge en förståelse för att resurser alltid kommer att vara på användarens sida, och att sökandet efter nya lösningar bör vara en integrerad del av deras arbete.

Nyttiga länkar

• Genomförande av standarden Encrypted SNI i Firefox
• Autonom metod för att kringgå DPI

Tillägg utanför artikelnTestet på Cloudflare kan inte passeras i Tele2:s nätverk, och korrekt konfigurerad DPI blockerar åtkomst till testplattformen.
P.S. Detta är för närvarande den första leverantören som korrekt blockerar resurser.

Källa: habr.com