LINUX.ORG.RU
ФорумAdmin

Сделано: автоматизация обхода блокировок Роскомнадзора

 , , ,


6

2

Все тривиально.

0 - автоматизация сбора списка гуглится первым же запросом, не интересно. Кроме того, лично я предпочел хранить только действительно нужные мне сайты (например, буквально на днях мне не давали почитать статью про самоубийства).

1 - необходим exit point в Амсетраме, Париже, Франкфурте, Осло или другом хорошем месте. Афганистан не подойдет. Советую использовать виртуалки ovh, leaseweb или hetzner, они стоят менее $10 в месяц. Лично мне не нравятся идеи, когда я плачу $1 без нагрузки, а если придет бот помайнить биткойны, то счет будет заоблачным, по этому не Амазон.

2 - на exit point за границей необходимо настроить squid proxy. Единственный тонкий момент: надо прописать доступ только с IP из России, иначе кто-нибудь попользуется.

3 - в России надо настроить цепочку из squid'а и privoxy. Squid по умолчанию/желанию/надобнастям, только порт нестандартный, у privoxy нужны 2 правила в user.action:

#это правило форвардит все на локальный сквид
{ +change-x-forwarded-for{block}  +forward-override{forward localhost:3129} }
.*
#это правило форвардит по списку в сквид не под цензурой (запрещена в Российской Федерации)
{ +change-x-forwarded-for{block}  +forward-override{forward myexitpoint.com:3128} }
ru.pornhub.com
navalny.com
other_blocked_useful_site.net

Так как резолвинг заблокированного работает там, куда ручонки Антона Аносова не дотянутся, то порча DNS тоже не работает. Локальный сквид не является обязательным, но у меня на нем глобальная баннеронезалка.

★★★★★

Последнее исправление: Shaman007 (всего исправлений: 2)

Ответ на: комментарий от router

А вообще я не претендую на новые/тайные знания или единственный правильный рецепт. Но на фоне статей про использование утилиты yes на Geektimes, решил запилить, чтобы было.

Shaman007 ★★★★★
() автор топика
Ответ на: комментарий от Shaman007

TOR очень медленный.

Я вот недавно сливал через засунутую в ляптоп йоту с торрента какой-то шлак. Так вот через socksify и TOR клиент выдает полную скорость 4G, а через YOTA - дай бог 100kbps.

kirk_johnson ★☆
()

а если придет бот помайнить биткойны

А как на мой VDS может придти бот майнить биткойны? Стало интересно.

amomymous ★★★
()
Ответ на: комментарий от Shaman007

Fair enough. Кстати, РКН ещё не запустил бота, который ходит по проксям и банит их, если через них доступ к сайтам работает?

kirk_johnson ★☆
()
Ответ на: комментарий от amomymous

Поломает что-нибудь и как начнет майнить. А Амазон (например) такой: на тебе еще больше процессоров, богу вычислений нужно больше вычислений. На Хабре том же было много плачей Ярославны, как ключи от Амазоновского аккаунта увели, а там кредитка с безакцептерным списанием привязана.

Shaman007 ★★★★★
() автор топика
Ответ на: комментарий от Shaman007

Ну а как он мою проксю найдет? Порт открыт, но его просто так не аутентифицирует.

Меня интересует, насколько плотно ребята этой темой занимаются. Пару лет назад знакомцы из одного провайдера просили написать меня модуль для iptables, который бы подобные штуки на уровне tcp делал в ядре. Но потом на эту тему вроде просто забили.

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

На сколько я знаю, в РКН и ЛигеБезИнтернета работают довольно неквалифицированные кадры, по этому все вручную, но мои сведения могли устареть.

Shaman007 ★★★★★
() автор топика

Два сквида? Выглядит как-то немного переинженерено.

Можно же просто прорезольвить (за границей, чтоб уж наверняка) запрещенные домены, и гонять все что на этих доменах через VDS/tor, а остальное локально?

Deleted
()
Ответ на: комментарий от Shaman007

Ну, молодое поколение вроде как технически грамотное. Так что могли набрать студентов.

kirk_johnson ★☆
()

2 - на exit point за границей необходимо настроить squid proxy.

А почему просто не водрузить туда openvpn и сделать туда дефолтный маршрут при подключении (или роутить только список интересующего из забаненного роскомпозором как вариант)? Ну или просто купить openvpn as a service?

asaw ★★★★★
()
Ответ на: комментарий от asaw

А почему просто не водрузить туда openvpn и сделать туда дефолтный маршрут при подключении (или роутить только список интересующего из забаненного роскомпозором как вариант)? Ну или просто купить openvpn as a service?

Потому что весь трафик туда гнать не нужно. Только тот http, который тут заблокировали.

kirk_johnson ★☆
()
Ответ на: комментарий от asaw

роутить только список интересующего из забаненного роскомпозором как вариант

Ты помнишь, на каком уровне работает openvpn, верно? Это TCP/IP (или вообще Ethernet). Для того, чтобы туда что-то роутить, нужно сделать DNS lookup. А он может не работать здесь :)

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

Ну и про CDN не забывай, у которых может быть просто дохренища IP адресов в пуле.

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

Выставь принудительное шифрование траффика и приоритет TCP. У меня тариф йота для смартов на хакнутом свистке с имеем ипхона. Tixati клиент.

kraftello ★★★★★
()
Последнее исправление: kraftello (всего исправлений: 1)
Ответ на: комментарий от kirk_johnson

Для того, чтобы туда что-то роутить, нужно сделать DNS lookup

DNS первым делом туда и зароутить. Вот, кстати, хорошая задача: как настроить DNS так, чтобы он неразрешенные запросы обрабатывал по цепочке преднастроенных серверов до тех пор, пока не разрешит, либо не упрется в конец списка.

asaw ★★★★★
()
Ответ на: комментарий от kraftello

Выставь принудительное шифрование траффика и приоритет TCP. У меня тариф йота для смартов на хакнутом свистке с имеем ипхона. Tixati клиентю

Я выставлял, не помогает.

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

Моя история. На работе же достаточно ставить "." в конце адреса, те. «yyy.com/sdsf» меняется на «yyy.com./sdsf». На телефоне же пользуюсь chrome, он гоняет весь трафик через злобную америку для оптимизации, и блокировки обходятся.

anonymous
()
Ответ на: комментарий от asaw

DNS первым делом туда и зароутить.

А если я сижу через корпоративную сеть?

Вот, кстати, хорошая задача: как настроить DNS так, чтобы он неразрешенные запросы обрабатывал по цепочке преднастроенных серверов до тех пор, пока не разрешит, либо не упрется в конец списка.

Патчить glibc. Там ограничение на 3 хоста задано константной. Ну или поднимать у себя на каждом девайсе локальный dnsmasq, настраивать его... ну ты уже понял, что squid проще, да?

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

А если я сижу через корпоративную сеть?

Для корпоративного домена указываешь DNS-сервер отдельно. Либо поднимаешь отдельный «умный».

ну ты уже понял, что squid проще, да?

Проще скачать tor browser, а если уж геморроиться с VPS, то хочется тогда уже сделать универсальное решение, чтобы прозрачно обходило все блокировки не только для HTTP.

asaw ★★★★★
()
Ответ на: комментарий от asaw

Проще скачать tor browser, а если уж геморроиться с VPS, то хочется тогда уже сделать универсальное решение, чтобы прозрачно обходило все блокировки не только для HTTP.

Блокировку канала топором оно тоже обходить будет?

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

Не пори ерунду. Раз у тебя есть канал до VPS, то всё остальное решаемо. а если нет, тут и обсуждать нечего.

asaw ★★★★★
()
Ответ на: комментарий от asaw

Не пори ерунду. Раз у тебя есть канал до VPS, то всё остальное решаемо. а если нет, тут и обсуждать нечего.

Ну... Поднять HTTP прокси дело пяти минут. И работать это будет везде. Насиловать все железки, пропихивая в них софт для хитрых костылей с DNS, выглядит слегка переусложненно.

kirk_johnson ★☆
()

ручонки Антона Аносова

Может познакомить его с прекрасным полом лора? Он сразу станет добрее, я гарантирую это.

dnb ★★★★
()
Ответ на: комментарий от kirk_johnson

Я же говорю: для HTTP проще воспользоваться tor browser. А если нужно что-то кроме HTTP, то squid не поможет.

asaw ★★★★★
()
Ответ на: комментарий от asaw

Я же говорю: для HTTP проще воспользоваться tor browser. А если нужно что-то кроме HTTP, то squid не поможет.

Зачем мне tor browser? Меня ff вполне устраивает.

kirk_johnson ★☆
()

Обход блокировок приравнен к воровству же. А распространение средств и способов - к терроризму. Иди открывай, слышишь, в дверь стучат.

anonymous
()

У меня блокировки обходятся на роутере с помощью гуглльднс. Для всего остального есть VPN.

ritsufag ★★★★★
()
Ответ на: комментарий от Shaman007

А у тебя есть конкретные примеры, когда от такого проброса реально страдает доступ к местным ресурсам?

Чтобы было понятно, ради чего стоило городить выборочный прокси вместо VPN.

Vit ★★★★★
()
Ответ на: комментарий от anc

Так список на сервере надо создавать и его же и роутить.

Если кто-то портит DNS - не прокатит. У тебя локальный DNS resolve не сработает.

kirk_johnson ★☆
()
Ответ на: комментарий от kirk_johnson

Причем здесь локальный? Я же про сервер vpn написал, на сервере создаем список его роутим клиенту, клиент соединяется траф идет через впн, профит.

anc ★★★★★
()

Сейчас Роскомнадзор заблокирует эту страничку ::)

Dron ★★★★★
()

На экзит-пойнте хотя бы fail2ban настроен? Потому что в идеале дотуда нужен тоннель с шифрованием (без дефолтного маршрута, только для доступа до сквида), и чтобы прокси принимал запросы только из тоннеля.

anonymous
()

Не проще на екзит-пойнте openvpn поднять, чем проксики настраивать?

Deleted
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.