Система блокировки трафика компании СКАЙСТРИМ на базе модуля ядра.

[dred73]

добрый день! Разрабатывали для себя, но переросло в нечто большее. Система блокировки на основе модуля ядра

Выкладываем в открытый доступ. Доступна http://blk.skystream.net.ru/

Пробуйте. в настоящее время работая на четырех ядерном атоме (реальная пуколка) переваривает практически 2 Гб/сек.

 

Тестировали ее заказывая программного агента рчц цфо.

Edited December 22, 2019 by dred73

[alibek]

Работает на зеркале, только на исходящем трафике, пакеты не склеивает. Значит будет куча пропусков.

[dred73]

8 часов назад, alibek сказал:

Работает на зеркале, только на исходящем трафике, пакеты не склеивает. Значит будет куча пропусков.

Не нужно так категорично, вы даже не пробовали.

[bike]

50 минут назад, dred73 сказал:

Поддерживается фильтрация по IP-адресам, доменным именам и URL (для HTTP).

Как понимаю про существование HTTPS и SNI - система ни чего не знает или описание не полное?

[Vadim_k_m]

1 час назад, bike сказал:

Как понимаю про существование HTTPS и SNI - система ни чего не знает или описание не полное?

Описание полное, именно так и в такой последовательности:

1. Проверка по IP-адресу

2. Проверка по доменному имени не зависимо от того HTTP это, или HTTPS. В процессе "рукопожатия" доменное имя передается в незашифрованном виде, так что никакой проблемы проверять его единообразно для обоих протоколов по одной и той же таблице нет.

3. Происходит проверка по URL но только HTTP, в чем проблема с URL в HTTPS думаю и так все знаю, и даже Роскомнадзор перестал добавлять HTTPS URL в реестр.

Те немногое HTTPS URL, что остались в реестре конвертируются в доменные имена в процессе раснига реестра.

 

Количество пропусков, которое фиксирует Ревизор на донный момент составляет примерно 0.04%. Все они связаны с тем, что Ревизор щемится не на тот хост, который указан в реестре. Победить это существующим алгоритмом не удается, единственный вариант - обработка DNS-протокола, а она ещё не реализована.

Ещё из известных недостатков - не работает на некоторых моделях интоловских сетевух, там проблема в драйверах, а не алгоритме.

[alibek]

9 минут назад, Vadim_k_m сказал:

Те немногое HTTPS URL, что остались в реестре конвертируются в доменные имена в процессе раснига реестра.

Чушь.

Сейчас в реестре 93 тысячи HTTP и 45 тысяч HTTPS. Или более половины — это немногое?

 

11 минут назад, Vadim_k_m сказал:

и даже Роскомнадзор перестал добавлять HTTPS URL в реестр

Ложь.

За последние трое суток в реестр были добавлены 500 HTTP-ресурсов и 370 HTTPS-ресурсов.

 

 

[alibek]

53 минуты назад, Vadim_k_m сказал:

единственный вариант - обработка DNS-протокола

Не гарантия. Ревизор может использовать свои DNS или IP из реестра.

[ixi]

1 час назад, Vadim_k_m сказал:

не на тот хост, который указан в реестре

Базовый функционал вообще-то

 

1 час назад, Vadim_k_m сказал:

единственный вариант - обработка DNS-протокола, а она ещё не реализована

про DoH не забудьте