[nphs]

Получил второе письмо счастья от ркн по пропускам

[YuryD]

Вроде вы должны к ним прибыть сами для подписания протокола

да все верно, спасибо за корректировку.

Для тех, кто сам выгружает реестры, есть вход в ЛК ревизора. По какому-то коду последней выгрузки можно там зарегиться и получать состояние и отчёты своих ревизоров. Лично этим не пользуюсь, нах не надо, и не обязан. Будет вызов для подписания протокола - пойдём втроём, директор, сисадмин и адвокат. И там, сначала адвокат рассмотрит протокол, для соответствия нормам юридическим, затем порекомендует что-то....

[disappointed]

Получил второе письмо счастья от ркн по пропускам

Тоже звонили вечером, что акт от РЧЦ.

После того как он стал снова лазить по айпишникам из реестра и испортил идеальные отчёты.

[YuryD]

Получил второе письмо счастья от ркн по пропускам

 

А как вы эти письма получаете ? Бумажно, элпочтой с эцп, или телеграммой - телефоннограммой ?

[varney]

Бумажно, элпочтой

любым методом, в этом плане у наших например нет стабильности.

[nphs]

Получили почтой, используем extfilter

 

disappointed, а вы что используете?

[varney]

"В настоящее время агент проводит проверку, используя 2 следующих алгоритма:

1) IP-адреса ресурсов, внесенных в реестр, резолвятся через DNS-оператора;

2) IP-адреса ресурсов берутся непосредственно из Реестра.

Т.е. проверка проводится двумя способами.

 

судя по протоколу мониторинга, агент и впрямь использует сразу все имеющиеся способы.

вот из протокола:

256631	http://mkp24.biz, 104.24.17.20, GET	ФСКН	29.12.2015 7:52	200
256631	http://mkp24.biz, 104.24.16.20, GET	ФСКН	29.12.2015 7:52	200

 

а в реестре и по сегодняшний день:

<content id="256631" includeTime="2015-12-29T10:52:37" entryType="1" hash="2710CC498C66919A45FBDCDA47EABE0F">
<decision date="2015-12-21" number="2/1/11-48734" org="ФСКН"/>
<url><![CDATA[http://mkp24.biz]]></url>
<domain><![CDATA[mkp24.biz]]></domain>
<ip>104.25.7.36</ip>
<ip>104.25.6.36</ip>

 

и как такое оспаривать? ведь вроде оператор не должен сам резолвить новые ипы, или я что-то упустил в ветке обсуждения?

[nphs]

ну ведь ревизор отдает GET с именем хоста (названием сайта) на IP адрес. Таким образом можно перехватить и заблокировать, не резолвя новые ипы. Или нет?

Изменено 31 января, 2017 пользователем nphs

[disappointed]

Получили почтой, используем extfilter

 

disappointed, а вы что используете?

acl на бордере для blockType=ip и bind rpz для остального,

но он как выше пишут теперь коннектится также и к айпишникам из реестра (как было в самом начале его эксплуатации),

поэтому подмена на днс для него не катит.

[Realwizard]

Отрезолвить можно не напрягаясь, единственное ограничение, чтобы не флудить, это количество одновременных запросов к публичным днс.

Результат ниже.

Feb/01/2017 06:55:46  - 104.16.243.247 - iwantyourpromo.com - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 104.16.242.247 - iwantyourpromo.com - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 104.18.49.143 - delivery-spb.pro - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 104.18.48.143 - delivery-spb.pro - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 104.28.12.231 - kirov-dostavka.ru - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 104.28.13.231 - kirov-dostavka.ru - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 4.23.43.125 - cdnb.20m.es - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 8.27.131.126 - cdnb.20m.es - feb/01/2017 - 06:55:46
Feb/01/2017 06:55:46  - 81.169.145.156 - www.loop-raum.de - feb/01/2017 - 06:55:46
Feb/01/2017 06:58:47  - 178.32.10.75 - malinacasino.net - feb/01/2017 - 06:58:47
Feb/01/2017 07:01:55  - 195.20.51.176 - lis2.ga - feb/01/2017 - 07:01:55
Feb/01/2017 07:01:55  - 91.192.81.2 - melbetlea.xyz - feb/01/2017 - 07:01:55
Feb/01/2017 07:01:55  - 8.254.251.126 - cdnb.20m.es - feb/01/2017 - 07:01:55
Feb/01/2017 07:01:55  - 8.254.178.125 - cdnb.20m.es - feb/01/2017 - 07:01:55
Feb/01/2017 07:01:55  - 213.32.121.183 - malinacasino4.org - feb/01/2017 - 07:01:55
Feb/01/2017 07:01:55  - 195.20.50.154 - lis3.ga - feb/01/2017 - 07:01:55
Feb/01/2017 07:04:47  - 104.20.81.63 - voat.co - feb/01/2017 - 07:04:47
Feb/01/2017 07:04:47  - 104.20.82.63 - voat.co - feb/01/2017 - 07:04:47
Feb/01/2017 07:07:47  - 46.105.250.250 - muzon.in - feb/01/2017 - 07:07:47
Feb/01/2017 07:10:46  - 8.254.223.126 - cdnb.20m.es - feb/01/2017 - 07:10:46
Feb/01/2017 07:10:46  - 8.254.222.254 - cdnb.20m.es - feb/01/2017 - 07:10:46
Feb/01/2017 07:19:47  - 8.254.164.126 - cdnb.20m.es - feb/01/2017 - 07:19:47
Feb/01/2017 07:28:47  - 8.254.101.253 - cdnb.20m.es - feb/01/2017 - 07:28:47
Feb/01/2017 07:46:47  - 50.63.202.27 - lis8.xyz - feb/01/2017 - 07:46:47
Feb/01/2017 07:46:47  - 5.254.105.56 - vs-cash.cc - feb/01/2017 - 07:46:47
Feb/01/2017 07:58:47  - 8.254.212.254 - cdnb.20m.es - feb/01/2017 - 07:58:47
Feb/01/2017 07:58:47  - 8.254.212.126 - cdnb.20m.es - feb/01/2017 - 07:58:47
Feb/01/2017 08:07:47  - 184.168.221.22 - lis8.xyz - feb/01/2017 - 08:07:47

[varney]

Отрезолвить можно не напрягаясь

ну так то да, только:

1. Это нужно учесть, что некоторые сайты прописали себе: и 127.0.0.1 и даже 0.0.0.0

# nslookup sodiqlar.info 8.8.8.8
Server:         8.8.8.8
Address:        8.8.8.8#53

Non-authoritative answer:
Name:   sodiqlar.info
Address: 127.0.0.1

2. А смысл это делать каждому? Не лучше ли если РКНовская система сама отрезолвит новые и внесет соответствующие правки в выгрузку.

Тут конечно придется вносить правки юридические, но это все же существенно эффективнее, чем всем страдать данной рутиной.

3. И насчет не напрягаясь, сколько у вас по времени длится резолв 30ка записей?

Изменено 1 февраля, 2017 пользователем varney

[KD]

3. 100 имен в секунду вполне можно резолвить. На 30000 записей 300 секунд, 5 мин, не много

Только надо учесть, что некоторые шибко умные меняют ip чуть ли не каждые 5 мин. А может это не от ума а просто политика CloudFlare.

PS

у меня овер 2000 "абонентов" генерят примерно 100тыс запросов в минуту к 8.8.8.8, пока никто не жаловался

Изменено 1 февраля, 2017 пользователем KD

[varney]

некоторые шибко умные меняют ip чуть ли не каждые 5 мин

ну не то, что шибко умные, а шибко правильные, использующие CDN.

таких вообще нужно отдельно выискать со всеми их пулами, что опять же сводит к разумности это выполнить ркном и вносить правки в выгрузку.

 

100 имен в секунду вполне можно резолвить.

на каком камне?

Изменено 1 февраля, 2017 пользователем varney

[disappointed]

на каком камне?

Основная проблема это рейтлимиты на NS-ах.

[xcme]

про свежий флуд ревизоров - ответ по методикам проверок агентов:

 

"В настоящее время агент проводит проверку, используя 2 следующих алгоритма:

1) IP-адреса ресурсов, внесенных в реестр, резолвятся через DNS-оператора;

2) IP-адреса ресурсов берутся непосредственно из Реестра.

Т.е. проверка проводится двумя способами.

 

Агент Ревизор фиксирует нарушение, если любым из этих 2 способов он получает http-ответ с 200-м кодом и в полученном коде html-страницы не находит ключевых слов («заблокирован», «ограничен» и пр.)

Проверка проводится не по критерию «есть запрещенная информация на ресурсе/нет запрещенной информации», а по критерию «ограничен доступ к ресурсу/не ограничен доступ к ресурсу»)."

У кого-нибудь есть чекалка, работающая по такому же алгоритму?

[KD]

на каком камне?

E3-1240v2

на нем все, и NS и фильтрация

общий канал 1,5G, утилизация в пиках 1,4, в среднем 1G, на фильтр попадает примерно 50-70 Мбит/с

[Realwizard]

3. И насчет не напрягаясь, сколько у вас по времени длится резолв 30ка записей?

1. А разве нужно все 37k постоянно резолвить? Тогда TTL нафига? Фильтруем динамический кешь на предмет (TTL<= 1:00) and (TYPE="A" or TYPE="SOA" or TYPE="CNAME") (все остальное лесом, если не прав, поправьте) имеем не более 30 записей. Их и резолвим. Результат в статический кешь (в лог попутно). На практике изменения происходят не чаще одного раза в 2-3 минуты. На вышеприведенный пример смотрим: 6:55 - 10 записей, 6:58 - 1 запись, 7:01 - 6 записей. И т.д. И где тут 37к записей?

2. Совершенно не понятен подход некоторых к проблеме "в лоб". Начинают предлагать гнать весь трафик через фильтр. Зачем!? Делим трафик на 3 потока. "Красный" - жестко забаненные IP. Дропаем (направляем на заглушку) на подлете/вылете. Далее "Оранжевый" - (port=80, 81, 443, 888, 4001, 4002, 5000, 8001, 8080, 8081, 16869) and (IP = ReestrList). Вот его собственно и анализируем, в весь остальной трафик по "зеленому коридору". Имеем не более 5% от суммарного трафика на фильтре.

[myth]

Я правильно понимаю, что блокировка по DNS теперь вне закона?

[varney]

Совершенно не понятен подход некоторых к проблеме "в лоб". Начинают предлагать гнать весь трафик через фильтр. Зачем!?

я где-то разве упоминал про подход в лоб или прогон всего трафика через фильтр?

 

делю выгрузку на 4ыре составных:

ip / domain / https / url

 

ip - разделяется на две составные, те что в полный блок, и все остальное для дальнейшей фильтрации сквидом.

ну а чтобы нагрузка не выросла в разы, соответственно в сквид отправляется только траф идущий на айпи взятые из выгрузки, и в итоге получаем доступ к части урлов, у которых ипы меняются или изменились.

 

 

P.S. Как поведал РКН, данные предписания по результатам мониторинга, отправлены многим представителям отрасли, чтобы создать судебные прецеденты, чтобы в дальнейшем внести правки в метод блокировки.

Данные действия отлично сочетаются с новостью про унификацию способов блокировки.

 

P.P.S. А еще как рассматриваются дублирующиеся записи в протоколе из-за времени проверки или при случаях > 1 айпи? Каждый как отдельный урл или после эти все записи объединяются в единственном эквиваленте в конечном протоколе?

Изменено 1 февраля, 2017 пользователем varney

[Realwizard]

я где-то разве упоминал про подход в лоб или прогон всего трафика через фильтр?

А разве я где-то во втором пункте упоминал Вас? Выше по ветке была озвучена такая мысль. На мой, непросвещенный взгляд, весьма неадекватная идея. Так ни каких мощностей не хватит. :(

 

P.P.S. А еще как рассматриваются дублирующиеся записи в протоколе из-за времени проверки или при случаях > 1 айпи? Каждый как отдельный урл или после эти все записи объединяются в единственном эквиваленте в конечном протоколе?

ХЗ. На усмотрение суда наверное. Пока протоколов не было, великий DPI миловал.

[FFAMax]

А я не могу ревизору заблокировать запросы к другим днс? Ну типа, вот настройки моей сети- их и используете, иначе это уже не мое подключение!

Можешь все запросы завернуть на свой и усе :)

 

А никто еще не догадался у себя поднять DNS-зоны для заблокированных ресурсов и сразу на заглушку ссылаться? :)

Изменено 1 февраля, 2017 пользователем FFAMax

[remos]

А я не могу ревизору заблокировать запросы к другим днс? Ну типа, вот настройки моей сети- их и используете, иначе это уже не мое подключение!

Можешь все запросы завернуть на свой и усе :)

 

А никто еще не догадался у себя поднять DNS-зоны для заблокированных ресурсов и сразу на заглушку ссылаться? :)

будет работать, проблем не вижу...особенно в части вечно блокируемых ресурсов

Изменено 1 февраля, 2017 пользователем remos

[varney]

ХЗ. На усмотрение суда наверное.

вернее всего так и будет, ведь сам реестр судя по его записям собирается из разных источников, и за дублями из-за разных органов и разных постановлений никто не смотрит, от того и записи в реестре дублируются, да и еще с избытком.

(например: pharaon777.com)

Изменено 2 февраля, 2017 пользователем varney

[Realwizard]

Только сейчас заметил. Изменили коэффициент компрессии в архиве выгружаемого реестра. Было 13,8Mb стало 3,5Mb. Подразгрузили сервачек.

[varney]

Вот сегодня выгрузив из ЛК дамп мониторинга, обнаружил в нем строчку об открытом и доступном URL: bingo.net

Время обнаружения | ID записи реестра | Идентификатор (URL/domain/IP) | Тип информации | Время включения записи в реестр (UTC) |	HTTP статус  |	Адрес перенаправления
02.02.2017 0:05	| 71666	| http://bingo.net/, 104.130.130.150, GET | Генпрокуратура | 13.03.2014 14:33 |200 | С: http://www.grani.ru (148.62.1.106) 

Но ведь в выгрузке под данным айди числится иной ресурс: grani.ru

<content id="71666" includeTime="2014-03-13T18:33:42" urgencyType="1" entryType="3" blockType="domain" hash="7E2FF09BD738398EACB7E30684E545D8">
   <decision date="2014-03-13" number="Исорг-27/3-3420-14/" org="Генпрокуратура"/>
   <domain><![CDATA[www.grani.ru]]></domain>

 

Да и был бы один залетный, так нет они по этому иду выполняют следующую проверку:

71666	http://www.grani.ru, 209.61.166.28, GET
71666	http://www.grani.ru, 166.78.40.126, GET
71666	http://www.grani.ru, 148.62.4.51, GET
71666	http://www.grani.ru, 148.62.5.136, GET
71666	http://www.grani.ru, 148.62.0.187, GET
71666	http://www.grani.ru, 161.47.19.33, GET
71666	http://www.grani.ru, 148.62.2.60, GET
71666	http://www.grani.ru, 148.62.0.75, GET
71666	http://www.grani.ru, 148.62.3.249, GET
71666	https://www.reneerouleau.com/, 166.78.28.63, GET
71666	http://www.grani.ru, 65.61.162.53, GET
71666	http://www.grani.ru, 161.47.19.18, GET
71666	http://www.grani.ru, 161.47.21.180, GET
71666	http://www.grani.ru, 148.62.0.195, GET
71666	http://www.grani.ru, 161.47.7.215, GET
71666	http://www.grani.ru, 172.99.100.126, GET
71666	http://www.stackerblog.com/, 88.221.133.48, GET
71666	http://www.stackerblog.com/, 88.221.133.31, GET
71666	http://bingo.net/, 104.130.130.150, GET
71666	http://paxstaging.allianceabroad.com/, 148.62.2.81, GET
71666	http://galyleo.net, 23.253.119.33, GET

Изменено 2 февраля, 2017 пользователем varney