🐜 🚘 🍺 Iptables और फ़िल्टरिंग ट्रैफ़िक ग़रीब और आलसी असंतुष्टों से ❌ 👩🏽‍🔧 ✉️

निषिद्ध संसाधनों के लिए अवरुद्ध यात्राओं की प्रासंगिकता किसी भी व्यवस्थापक को प्रभावित करती है जिसे आधिकारिक अधिकारियों के कानून या आदेशों के अनुपालन के साथ आधिकारिक तौर पर प्रस्तुत नहीं किया जा सकता है।

जब हमारे कार्यों के लिए विशेष कार्यक्रम और वितरण हैं, तो पहिया को क्यों सुदृढ़ करें: उदाहरण के लिए, ज़ीरोशेल, पीफिसेंस, क्लियरओएस।

अधिकारियों द्वारा एक और प्रश्न पूछा गया था: क्या हमारे द्वारा उपयोग किए जाने वाले उत्पाद का हमारे राज्य से सुरक्षा प्रमाणपत्र है?

हमें निम्न वितरण के साथ काम करने का अनुभव था:

जीरोशेल - डेवलपर्स ने 2 साल के लिए लाइसेंस भी प्रस्तुत किया, लेकिन यह पता चला कि ब्याज का वितरण हमारे लिए एक महत्वपूर्ण कार्य करने के लिए हमारे लिए अतार्किक था;
pfSense - सम्मान और सम्मान, एक ही समय में उबाऊ, FreeBSD फ़ायरवॉल की कमांड लाइन के लिए उपयोग किया जाना हमारे लिए पर्याप्त सुविधाजनक नहीं है (मुझे लगता है कि यह आदत की बात है, लेकिन यह "उस तरह से" नहीं निकला);
ClearOS - यह हमारे हार्डवेयर पर बहुत धीमी गति से निकला, हम गंभीर परीक्षण नहीं कर सके, और इस तरह के भारी इंटरफेस क्यों?
Ideco Selecta। Aydeko उत्पाद, एक दिलचस्प उत्पाद के बारे में एक अलग बातचीत है, लेकिन राजनीतिक कारणों से यह हमारे लिए नहीं है, लेकिन मैं उन्हें एक ही लिनक्स, Roundcube, आदि के लाइसेंस के बारे में "काटने" भी चाहता हूं। उन्हें पायथन में इंटरफ़ेस को "कट" करने और चयनित सुपरसुअर अधिकारों को प्राप्त करने के लिए क्यों मिला, वे GPL और आदि के तहत वितरित इंटरनेट समुदाय के विकसित और बेहतर मॉड्यूल से बने एक तैयार उत्पाद को बेच सकते हैं।

मैं समझता हूं कि अब नकारात्मक रोना मेरी दिशा में मेरे व्यक्तिपरक भावनाओं को विस्तार से बताने के लिए आवश्यकताओं के साथ आएगा, लेकिन मैं यह कहना चाहता हूं कि यह नेटवर्क नोड इंटरनेट पर 4 बाहरी चैनलों के लिए यातायात का एक बैलेंसर भी है, और प्रत्येक चैनल की अपनी विशेषताएं हैं। एक अन्य आधारशिला विभिन्न पता स्थानों में कई नेटवर्क इंटरफेस में से एक पर काम करने की आवश्यकता थी, और मैं यह स्वीकार करने के लिए तैयार हूं कि मुझे जहां भी जरूरत है वहां वीएलएएन का उपयोग करने के लिए तैयार नहीं हूं। उपयोग में टीपी-लिंक टीएल-आर ४ +० टी + जैसे उपकरण हैं - वे पूरी तरह से व्यवहार नहीं करते हैं, सामान्य तौर पर अपनी बारीकियों के साथ। यह लिनक्स के इस भाग को उबंटू बंद साइट आईपी-बैलेंसिंग के लिए धन्यवाद पर कॉन्फ़िगर करने के लिए जिम्मेदार निकला : हम कई इंटरनेट चैनलों को एक में जोड़ते हैं । इसके अलावा, प्रत्येक चैनल किसी भी समय "गिर" सकता है, साथ ही साथ उठ भी सकता है। यदि आप एक स्क्रिप्ट में रुचि रखते हैं जो इस समय काम करता है (और यह एक अलग प्रकाशन के लायक है) - टिप्पणियों में लिखें।

प्रश्न में समाधान अद्वितीय होने का दावा नहीं करता है, लेकिन मैं एक सवाल पूछना चाहता हूं: "जब आप वैकल्पिक विकल्प पर विचार कर सकते हैं तो कंपनी गंभीर हार्डवेयर आवश्यकताओं के साथ संदिग्ध तृतीय-पक्ष उत्पादों के लिए अनुकूल क्यों है?"

अगर रूस में यूक्रेन में रोसकोमनादज़र की सूची है - राष्ट्रीय सुरक्षा परिषद के निर्णय के लिए एक परिशिष्ट (जैसे। यहां ), तो नेता भी जमीन पर नहीं सोते हैं। उदाहरण के लिए, हमें कार्यस्थल में श्रम उत्पादकता को खराब करने वाले प्रबंधन की राय में, प्रतिबंधित साइटों की एक सूची दी गई थी।

अन्य उद्यमों में सहयोगियों के साथ संवाद करना, जहां सभी साइटें डिफ़ॉल्ट रूप से निषिद्ध हैं और केवल बॉस की अनुमति के साथ अनुरोध करते हैं, आप एक विशिष्ट साइट तक पहुंच सकते हैं, सम्मानपूर्वक मुस्कुराते हुए, सोच और "एक समस्या धूम्रपान" कर सकते हैं, यह स्पष्ट हो गया कि जीवन अभी भी अच्छा है और हम अपनी खोज शुरू की।

अवसर न केवल विश्लेषणात्मक रूप से देखने के लिए कि "गृहिणियों की किताबें" ट्रैफिक फ़िल्टरिंग के बारे में क्या लिखती हैं, बल्कि यह देखने के लिए कि विभिन्न प्रदाताओं के चैनलों पर क्या होता है, हमने निम्नलिखित व्यंजनों पर ध्यान दिया (किसी भी स्क्रीनशॉट को थोड़ा क्रॉप किया गया है, कृपया समझें और क्षमा करें)

प्रदाता १	- अपने स्वयं के DNS सर्वर और पारदर्शी प्रॉक्सी सर्वर को परेशान और लागू नहीं करता है। ठीक है? .. लेकिन हमारे पास हमारी आवश्यकता है (अगर हमें इसकी आवश्यकता है तो :))
प्रदाता २	- उनका मानना है कि उनके शीर्ष प्रदाता को इसके बारे में सोचना चाहिए, शीर्ष प्रदाता के तकनीकी समर्थन ने यह भी स्वीकार किया कि मैं मेरे लिए आवश्यक गैर-निषिद्ध साइट क्यों नहीं खोल सकता। मुझे लगता है कि तस्वीर आपको खुश कर देगी :) जैसा कि यह पता चला है, वे निषिद्ध साइटों के नामों को आईपी पते में अनुवाद करते हैं और आईपी को ब्लॉक करते हैं (यह उन्हें परेशान नहीं करता है कि इस आईपी पते पर 20 साइटों को होस्ट किया जा सकता है)।
प्रदाता ३	- वहां से ट्रैफिक गुजरता है, लेकिन इसे रास्ते से वापस नहीं जाने देता।
प्रदाता ४	- निर्दिष्ट दिशा में संकुल के साथ सभी जोड़तोड़ को प्रतिबंधित करता है।

और वीपीएन (ओपेरा ब्राउज़र सम्मान) और ब्राउज़र प्लग-इन के साथ क्या करना है? सबसे पहले, मिकरोटिक हब के साथ खेलते हुए, हमारे पास एल 7 के लिए एक संसाधन-गहन नुस्खा भी था, जिसे बाद में हमें मना करना पड़ा (अधिक निषिद्ध नाम हो सकते हैं, यह दुख की बात है जब मार्गों पर अपने प्रत्यक्ष कर्तव्यों के अलावा, 3 दर्जनों अभिव्यक्तियों पर, PPC460GT प्रोसेसर 100 पर जाता है %)।

।

क्या स्पष्ट हो गया:
127.0.0.1 पर CSN बिल्कुल भी रामबाण नहीं है, ब्राउज़रों के आधुनिक संस्करण अभी भी आपको इस तरह की परेशानियों को दूर करने की अनुमति देते हैं। सभी उपयोगकर्ताओं को अधिकार से हटा दिया जाना असंभव है, और वैकल्पिक DNS की विशाल संख्या के बारे में नहीं भूलना चाहिए। इंटरनेट स्थिर नहीं है, और नए DNS पते के अलावा, प्रतिबंधित साइटें नए पते खरीदती हैं, शीर्ष-स्तरीय डोमेन बदलती हैं, और अपने पते में वर्ण जोड़ / निकाल सकती हैं। लेकिन फिर भी, उसे ऐसा कुछ जीने का अधिकार है (विषयवस्तु: इस तरह की सुरक्षा में मैं देखता हूं कि ब्राउज़र कैसे नुकसान में है, अभी भी एक उत्तर की प्रतीक्षा कर रहा है, और पृष्ठ जिसमें निषिद्ध सामग्री के तत्व लोड होने में लंबा समय लेता है):

ip route add blackhole 1.2.3.4

प्रतिबंधित साइटों की सूची से आईपी पते की एक सूची प्राप्त करना काफी प्रभावी होगा, लेकिन ऊपर वर्णित कारणों के लिए, हमने इप्टेबल्स के विचारों पर ध्यान दिया। CentOS Linux रिलीज़ 7.5.1804 पर पहले से ही एक लाइव बैलेंसर था।

उपयोगकर्ता का इंटरनेट तेज़ होना चाहिए, और ब्राउज़र को आधा मिनट इंतजार नहीं करना चाहिए, यह निष्कर्ष निकालते हुए कि यह पृष्ठ उपलब्ध नहीं है। विभिन्न लॉकिंग विकल्पों की लंबी खोज के बाद, हम इस मॉडल पर आए:
फ़ाइल 1 -> / स्क्रिप्ट / अस्वीकृत_होस्ट , निषिद्ध नामों की सूची:

 test.test blablabla.bubu torrent porno

फ़ाइल 2 -> / लिपि / अस्वीकृत_बंध , निषिद्ध पता स्थान और पते की एक सूची:

 192.168.111.0/24 241.242.0.0/16

स्क्रिप्ट फ़ाइल 3 -> ipt.sh , जो ipables के साथ काम करती है:

 #       HOSTS=`cat /script/denied_host | grep -v '^#'` RANGE=`cat /script/denied_range | grep -v '^#'` echo "Stopping firewall and allowing everyone..." #    iptables,      sudo iptables -F sudo iptables -X sudo iptables -t nat -F sudo iptables -t nat -X sudo iptables -t mangle -F sudo iptables -t mangle -X sudo iptables -P INPUT ACCEPT sudo iptables -P FORWARD ACCEPT sudo iptables -P OUTPUT ACCEPT #     (  ) sudo sh rout.sh #          for i in $HOSTS; do sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p tcp -j REJECT --reject-with tcp-reset; sudo iptables -I FORWARD -m string --string $i --algo bm --from 1 --to 600 -p udp -j DROP; done #          for i in $RANGE; do sudo iptables -I FORWARD -p UDP -d $i -j DROP; sudo iptables -I FORWARD -p TCP -d $i -j REJECT --reject-with tcp-reset; done

Sudo का उपयोग इस तथ्य के कारण है कि WEB इंटरफ़ेस के माध्यम से प्रबंधन के लिए हमारे पास एक छोटा हैक है, लेकिन जैसा कि एक वर्ष से अधिक के लिए इस तरह के मॉडल का उपयोग करने के साथ अनुभव किया है, WEB इतना आवश्यक नहीं है। कार्यान्वयन के बाद डेटाबेस में साइटों की एक सूची बनाने की इच्छा थी, आदि। अवरुद्ध मेजबानों की संख्या 250 + दर्जन से अधिक पते की जगह है। दरअसल, साइट कनेक्शन पर स्विच करते समय एक समस्या आती है, जैसे कि सिस्टम एडमिनिस्ट्रेटर, मुझे ब्राउज़र के बारे में शिकायतें हैं :), लेकिन ये विशेष मामले हैं, संसाधन तक पहुंच की कमी के अधिकांश जवाब अभी भी हमारे पक्ष में हैं, हम सफलतापूर्वक वीपीएन, प्लगइन्स को भी सफलतापूर्वक ब्लॉक कर रहे हैं। Microsoft से फ्रिगेट और टेलीमेट्री पसंद करें।

Iptables और फ़िल्टरिंग ट्रैफ़िक ग़रीब और आलसी असंतुष्टों से

More articles: