Не подскажете диапазоны IP-адресов Яндекса, Вконтакте, Одноклассников и Мейл.ру?

Question

[Имя Фамилия]

Салют. Не хочу вызвать лишнего негодования своим вопросом, но я из Украины, и у нас тут недавно начали закручивать гайки на манер Роскомнадзора.

Поднял себе, само собой, VPN, но сейчас заворачиваю полностью весь трафик, а мне это не нравится, да и не бесконечный он на VPS-ке. Собственно, ищу сабж, чтобы как-то адекватно разрулить перенаправление трафика на заблокированные хосты)

Просьба посты о политике удерживать внутри себя, или испражнять их в соответствующем месте.

Answer 1

[Denis Verbin]

Вот сразу для конфига openvpn :)
Обратите внимание, ipv6 у меня закомментировано.

# Yandex network
push "route 5.45.192.0 255.255.192.0"
push "route 5.255.192.0 255.255.192.0"
push "route 37.9.64.0 255.255.192.0"
push "route 37.140.128.0 255.255.192.0"
push "route 77.88.0.0 255.255.192.0"
push "route 84.201.128.0 255.255.192.0"
push "route 87.250.224.0 255.255.224.0"
push "route 93.158.128.0 255.255.192.0"
push "route 95.108.128.0 255.255.128.0"
push "route 100.43.64.0 255.255.224.0"
push "route 130.193.32.0 255.255.224.0"
push "route 141.8.128.0 255.255.192.0"
push "route 178.154.128.0 255.255.128.0"
push "route 199.21.96.0 255.255.252.0"
push "route 199.36.240.0 255.255.252.0"
push "route 213.180.192.0 255.255.224.0"

#push "route-ipv6 2620:10f:d000::/44"
#push "route-ipv6 2a02:6b8::/32"

# Mail.ru network
push "route 5.61.16.0 255.255.248.0"
push "route 5.61.232.0 255.255.248.0"
push "route 79.137.157.0 255.255.255.0"
push "route 79.137.183.0 255.255.255.0"
push "route 94.100.176.0 255.255.240.0"
push "route 95.163.32.0 255.255.224.0"
push "route 95.163.248.0 255.255.248.0"
push "route 128.140.168.0 255.255.248.0"
push "route 178.22.88.0 255.255.248.0"
push "route 178.237.16.0 255.255.240.0"
push "route 185.5.136.0 255.255.252.0"
push "route 185.16.148.0 255.255.252.0"
push "route 185.16.244.0 255.255.252.0"
push "route 188.93.56.0 255.255.248.0"
push "route 194.186.63.0 255.255.255.0"
push "route 195.211.20.0 255.255.252.0"
push "route 195.218.168.0 255.255.255.0"
push "route 217.20.144.0 255.255.240.0"
push "route 217.69.128.0 255.255.240.0"

#push "route-ipv6 2a00:1148::/32"
#push "route-ipv6 2a00:a300::/32"
#push "route-ipv6 2a00:b4c0::/32"

# VK.com network
push "route 87.240.128.0 255.255.192.0"
push "route 93.186.224.0 255.255.240.0"
push "route 95.142.192.0 255.255.240.0"
push "route 95.213.0.0 255.255.192.0"
push "route 185.32.248.0 255.255.252.0"

#push "route-ipv6 2a00:bdc0::/36"
#push "route-ipv6 2a00:bdc0:e006::/48"

# Kaspersky network
push "route 77.74.176.0 255.255.252.0"
push "route 77.74.181.0 255.255.255.0"
push "route 77.74.183.0 255.255.255.0"
push "route 93.159.228.0 255.255.252.0"
push "route 185.54.220.0 255.255.254.0"
push "route 185.85.12.0 255.255.255.0"
push "route 185.85.14.0 255.255.254.0"

Comments

[Имя Фамилия]

Прошу прощения, что не поблагодарил сразу - это шикарно.
Спасибо!

[vit5041]

Спасибо большое, очень помогло!

Answer 2

[dinegnet]

nslookup, dig, drill

А кто вам сказал, что украинские блокировщики знают сами все адреса,
тем более, что эти адреса могут появлять новые, удаляться старые время от времени.

А кто вам сказал что они заблокировали корректно, что ничего не забыли,
что не заблокировали лишнего по ошибке.

Я бы по факту конкретных выявленных вами блокировок смотрел.
То есть индивидуально по каждой ситуации.

К слову:

Роспотребназдор - всего лишь надзорный орган исполнения.
Решение (закручивание галок) - не он принимает.
Исполняет непосредственно тоже не он.

Comments

[dinegnet]

Денис Акимкин:
Это я перепутал тоже.
Все написанное мною относится к Роскомнадзору.

Они не блокируют, они не решают.
Они всего лишь контролируют чужие решения (решения принимают законодательная и судебная власть) выполняемые другими исполнителями (провайдерами)
То есть именно гайки закручивает не Роскомнадзор.

[Имя Фамилия]

Я прекрасно это понимаю, и поэтому хочу сразу предусмотреть максимум, который возможно. Само собой, что каждый отдельный провайдер реализовывает блокировку на своем уровне.

[Имя Фамилия]

Денис Акимкин: угу, виноват, перепутал

[dinegnet]

Имя Фамилия:

Так полный proxy/VPN решает проблему в корне.
Вам не нужно заморачиваться с отдельными адресами.

Тем более что сбои с отдельными адресами могут быть и по причине чисто технических временных проблем.

[Имя Фамилия]

dinegnet: я не хочу форвардить лишний трафик через VPS, потому что там лимит. Это первый аргумент. А второй - меня раздражает, что ко мне начинают на польском сайты обращаться :-)

[dinegnet]

Имя Фамилия:
www.myadept.ru/page/whoisip
Можно еще так

[Имя Фамилия]

dinegnet: прекрасная идея чтобы кормиться блокировками из РФ сверху))

[Имя Фамилия]

dinegnet: а по поводу стоимости. Ну я не знаю, вроде 2$ в месяц недорого и так)

Answer 3

[Axian Ltd.]

frigate, tor в помощь. Диапазоны IP вы вряд-ли получите все нужные, кроме того там могут оказаться динамические, да и поменяться могут

Comments

[Имя Фамилия]

да ну, это все не то, зачем мне какие-то анонимайзеры, сам себе сервер поднял, сам себе роуты кинул, знать бы какие.
насчет динамических, это как? в любом случае же каким-то образом они фиксируются. или Вы считаете, что кто-то просто так заберет у гугла 8.8.8.8, например?
я смог нарулить три B-подсети яндекса и две B-подсети ВК.
Но, тот же ВК явно этим не ограничивается, потому что не всегда могу воспроизвести какое-то медиа - не доходит с сервера со статикой, их же там тьма.

[dinegnet]

Имя Фамилия:

в любом случае же каким-то образом они фиксируются. или Вы считаете, что кто-то просто так заберет у гугла 8.8.8.8, например?

Почему обязательно заберет?

У тебя есть 100 адресов.
На внешние сервера ты выставил 50 адресов.
По мере роста нагрузки добавил еще 10 новых серверов и 10 новых адресов для них
По мере выхода серверов из строя убрал 2 старых адреса, починил сервера, через неделю возвратил в строй эти 2 адреса.
Это постоянно происходит.......

[Имя Фамилия]

dinegnet: правильно. но ведь у тебя конечный список этих адресов. или, скорее всего, подсетей.

[Axian Ltd.]

"Фиксируются" через DHCP/DDNS. Такие высоконагруженные сервисы часто используют CDN, а эти вообще могут подниматься по мере необходимости. Я подозреваю что блокировка идет не на уровне IP, а на уровне автономных систем BGP.
Впрочем со своим сервером какое-то время может работать.
Собирать адреса с бы начал с DNS/EMail/WWW ip, потом через whois выяснил бы подсети

BTW А что статью за обход запретов разве не ввели?

[Axian Ltd.]

Имя Фамилия: Не факт, это может быть аренда в облаке, так полстраны придется выписать

[Имя Фамилия]

Axian Ltd.: интересно как можно доказать вообще этот факт? расшифровать инкапсулированный VPN трафик? это же point-to-point, вот я, а вот мой VPS - вот и все что можно понять :-)

[Axian Ltd.]

Вы сюда уже заходите через VPN? Нет?
Если нет, то вы уже "на крючке"
Если да, то выясняем адрес VPN, выясняем владельца - оп и вы снова на крючке.
Вы же сказали что вам анонимайзер не нужен? ;-) Тем более никто заморачиваться не будет доказательствами - пионер всем ребятам пример и усе...

[Имя Фамилия]

Axian Ltd.: ну с начала блокировки я всюду через VPN :-) говорю же, приходится весь трафик перенаправлять) И опять же, мы понимаем, в каких странах живем, не вопрос. Но сугубо с технической точки зрения никак нельзя доказать, что я использую VPN именно для обхода блокировки. У меня на том же OpenVPN облачная инфраструктура с кучкой виртуалок соединяется с удаленными разработчиками и офисной сетью - так что же, теперь всех повяжут?)

[dinegnet]

Имя Фамилия:

правильно. но ведь у тебя конечный список этих адресов. или, скорее всего, подсетей.

Если адреса твои - то конечные. Но все равно - с запасом. Кто в здравом уме и трезвой памяти их под ноль жестко использует. Ну а если использует - то и докупает новые (да я в курсе, что IPv4 кончились - значит просто перекупает).

Однако, даже крупные могут запросто пользоваться чужим хостингом, то есть арендавать по мере необходимости
Cкажем Dropbox очень и очень долго, даже когда стал большим - все еще арендовал.

В случае упомянутых mail.ru, vk.com, одноклассников - навряд ли, у этих поди свои адреса и свои сервера.

[Axian Ltd.]

Разговор плавно перешел в область права. Оперативно-разыскные мероприятия не заключаются только с сборе технических доказательств. Если вы заинтересуете органы сначала будут опросы пользователей, их попытаются сделать свидетелями. Потом получат ордер и изымут технические средства, а там уже все лежит - настройки, логи и пр. Или с другой стороны - кто-то получит, сольет логи mail.ru. Ну дальше вы сами экстраполируйте действия. Против государственного лома тупо нет приема. Давеча в России кадра повязали за то, что держал выходной узел тора дома.

[Имя Фамилия]

dinegnet: вот собственно и стоит цель хоть как-то по максимуму закрыть в конфиге у себя эти диапазоны) Была еще мысль написать что-нить, что будет по списку заблокированных хостов nslookup дергать и конфиг впна править, но мне это показалось сомнительным решением.

[Имя Фамилия]

Axian Ltd.: да, я бы не хотел смещаться туда, где сам - дуб дубом. Вопрос в теме остается открытым :-)

[dinegnet]

Имя Фамилия:

интересно как можно доказать вообще этот факт? расшифровать инкапсулированный VPN трафик? это же point-to-point, вот я, а вот мой VPS - вот и все что можно понять :-)

Даже Тор вскрывается. Подложными серверами.

А простая точка-точка легко сечется с помощью синхронности. Статья была на Хабре:

1. Чел ломал банк в своем городе. Естественно через внешний VPS, недоступный местным безопасникам.

2. Зато безопасникам были доступны сеансы связи в городе (то есть был доступ к шлюзу городского провайдера). Путем сопоставления синхронности отправки/получения данных в доме хакера и в банке - выяснили.

К слову - дело было глубокой ночью - это было проще. Невелика активность в сети Интернет из этого города была.

Другое дело, что никому этого не нужно. Ведь технические возможности не позволяют сделать запросто. Поэтому по факту никто не будет ловить.

[Axian Ltd.]

В логах/кешах пользователей все-равно будут следы. Они и есть самое слабое звено. Однако если делать для себя любимого только, тогда может быть и получится выжить.
Если все-таки хочется для группы, я бы предложил к VPN вариант своего DNS маскирующего реальные имена. Но горбатиться не стоит tor уже все это делает.
Разворачиваем свою инфраструктуру tor, выход в реальный мир делаем через VPN где-нибудь на амазоне, куда дотянуться трудно.