URL काली सूची में डालना

इस लेख में स्क्वीड + टीपीआरओएक्सवाई का एक गुच्छा एक अलग मशीन पर खड़ा है। जैसा कि यह निकला, यह विषय लगभग इंटरनेट पर शामिल नहीं है।

व्यवसाय की प्रकृति से, कार्य ROSKOMNADZOR से साइटों की ब्लैकलिस्ट को फ़िल्टर करने के लिए हुआ। ऑडिट के दौरान, हमें धमकी दी गई थी कि अगर हम नहीं करते हैं, तो वे प्रतिबंध लगाएंगे। कहा (बस कुछ ही मिनटों) बेवकूफ और हमारे ग्राहकों के कार्यान्वयन के लिए बहुत अनुकूल नहीं है, जो केवल सभी साइटों को ब्लैकलिस्टेड तक पहुंच नहीं देता था। उसी समय, फ़िल्टरिंग केवल आईपी द्वारा किया गया था। और निश्चित रूप से इसने आईपी की सभी साइटों तक पहुंच को अवरुद्ध कर दिया है।

यह फिर से करना आवश्यक था, और यहां तक ​​कि सक्षम रूप से फिर से तैयार करना। सबसे पहले, यह सुंदर / अनाड़ी नहीं है, और दूसरी बात, कार्य स्वयं बहुत ही रोचक है।

इस लेख में मैं इस सूची की स्वचालित रसीद को कॉन्फ़िगर करने के तरीके के बारे में बात नहीं करूंगा। मैं केवल एक बात कह सकता हूं, मैंने अनुरोध पर लगातार हस्ताक्षर करने से परेशान नहीं किया, लेकिन एक बार स्थापित सॉफ़्टवेयर और एक कुंजी के साथ कंप्यूटर पर किया।

चलो स्क्वीड 3 के साथ मशीन को स्थापित करें।

लगभग सभी सेटिंग्स आधिकारिक स्क्विड + टीपीआरओएक्सवाईवाई से ली गई थीं

ip -f inet rule add fwmark 1 lookup 100 ip -f inet route add local default dev eth0 table 100 

 cat /etc/sysctl.conf: .... net.ipv4.ip_forward = 1 net.ipv4.conf.default.rp_filter = 0 net.ipv4.conf.all.rp_filter = 0 net.ipv4.conf.eth0.rp_filter = 0 

ताकि हम यह निर्धारित कर सकें कि ट्रैफ़िक का परीक्षण पहले ही हो चुका है, और जो नहीं है, हम एक अलग वीएलएएन बनाते हैं, हमारे मामले में 5, आउटगोइंग पैकेट के लिए। आपको याद दिला दूं कि TPROXY मोड में, सोर्स एड्रेस नहीं बदलता है।

 default via 192.168.70.2 dev eth0.5 192.168.1.35/25 dev eth0 proto kernel scope link src 192.168.1.36 192.168.70.0/30 dev eth0.5 proto kernel scope link src 192.168.70.1 

Iptables नियम

 iptables -t mangle -N DIVERT iptables -t mangle -A DIVERT -j MARK --set-mark 1 iptables -t mangle -A DIVERT -j ACCEPT 

मौजूदा कनेक्शन को TPROXY नियम में गिरने से रोकने के लिए

 iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT 

दरअसल TPROXY खुद ही नियम है

 iptables -t mangle -A PREROUTING -p tcp --dport 80 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 3129 

मूल सेटिंग्स।

 http_port 3129 tproxy disable-pmtu-discovery=off ... acl bad_urls url_regex "/etc/squid3/bad_hosts.list" .... http_access deny bad_urls http_access allow localnet deny_info http://www.somehost.ru bad_urls ... 

यदि उपयोगकर्ता प्रतिबंधित साइटों में से एक का अनुरोध करता है, तो कॉन्फ़िगरेशन में अंतिम पंक्ति निर्दिष्ट साइट पर REDIRECT करेगी।

स्वाद के लिए स्क्वीड 3 में बाकी सेटिंग्स।

राउटर पर सेटिंग्स

हमें इन सेटिंग्स को राउटर पर लागू करना होगा।

 cat /etc/sysctl.conf: .... net.ipv4.ip_forward = 1 net.ipv4.conf.default.rp_filter = 0 net.ipv4.conf.all.rp_filter = 0 net.ipv4.conf.eth0.rp_filter = 0 

स्वाभाविक रूप से सक्षम NAT NAT सबनेट।

हम एक श्रृंखला बनाते हैं जिसमें हम फ़िल्टर करेंगे

 iptables -t mangle -F DIVERT 

इस श्रृंखला में, हम उन सभी पैकेटों पर लेबल लगाएंगे जिनमें 80 का आउटगोइंग या डेस्टिनेशन पोर्ट है (केवल एक लेख लिखते समय मुझे एहसास हुआ कि पोर्ट निर्देश यहां बेमानी हैं, लेकिन मैंने इसे छोड़ दिया, अचानक किसी के लिए भी इसे समझना आसान है)

 iptables -t mangle -A DIVERT ! -i eth1.5 -p tcp --dport 80 -j MARK --set-mark 1 iptables -t mangle -A DIVERT ! -i eth1.5 -p tcp --sport 80 -j MARK --set-mark 1 

हम इस श्रृंखला को सभी पैकेट भेजेंगे जिनके स्रोत पते या गंतव्य 80 हैं, और हमें ये पैकेट 5 वीएलएएन से प्राप्त नहीं हुए हैं (क्या कोई मुझे बता सकता है कि इस मामले में कनेक्शन का पता क्यों नहीं लगाया गया है और आपको रिवर्स चेक करना होगा)

 iptables -t mangle -A PREROUTING ! -i eth1.5 -p tcp -m set --match-set badip dst -m tcp --dport 80 -j DIVERT iptables -t mangle -A PREROUTING ! -i eth1.5 -p tcp -m set --match-set badip src -m tcp --sport 80 -j DIVERT 

हम एक नियम बनाते हैं, यदि पैकेट पर एक लेबल 1 है, तो वह 101 रूटिंग टेबल पर भेज देगा

 ip rule add fwmark 1 lookup 101 

राउटिंग टेबल ही

 ip route list table 101 default via 192.168.1.35 dev eth1.3 

और अंत में। तो यहां हमारे पास खराब साइटों की एक सूची है

 create badip hash:ip ipset flush badip ipset add badip 111.111.111.111 ipset add badip 2.2.2.2 ... 

दोनों मशीनों पर अवरुद्ध साइटों की सूची स्वचालित रूप से लोड की जाती है, लेकिन अलग तरीके से व्याख्या की जाती है।

पैकेट आंदोलन पैटर्न

ब्लू - लाइन आउटगोइंग पैकेट
ग्रीन रिटर्न पैकेट है।