Как обойти контент-фильтр?

Question

[kardens]

Госорганизация. Провели кабель Ростелеком. Работает какой-то контент-фильтр, который вываливает на заблокированных сайтах страницу со списком законов о запрете доступа к ресурсу и черной кошкой.

Компы имеют настройку подключения:
IP: 10.64.[скрыл].6
mask: 255.255.255.128
шлюз: 10.64.[скрыл].1

В настройках параметров локальной сети стоит прокси-сервер для локальных подключений 10.0.64.52:3128

Пробовал уже все. Даже GoodbyeDPI. Ничего не помогает. При подключении VPN или TOR не открывает страницы вообще.

Команды ping и tracert так же никуда не ведут.

Как победить?

Comments

[Wexter]

Не можешь победить - возглавь?

[Keffer]

В вашем случае только установкой впн с локальных машин, но коль скоро весь трафик идет через прокси то там впн зарубается скорее всего. Так что без вариантов.

[pfg21]

не онанировать соответствующие службы ради всякого прона, в избежание....
использовать дома.

[kardens]

Igorjan, твое "ыыыыы" абсолютно не уместно ибо под [скрыл] находится номер, который закрепляется за вполне конкретной организацией. Есть идеи, какие там цифры? Нет. Что и требовалось доказать.

[AkaZLOY]

kardens, это серый ip адрес, толку от того что вы его скрыли?

[effko32]

Igorjan, мин образованием, видимо, саратовской области (64) :D

Answer 1

[kardens]

Пишу решение, которое нашел достаточно давно. Оно оказалось до-нельзя простым и лежало под рукой.
Сначала отмечу, что еще тогда обратил внимание, что при всех этих фильтрах я преспокойно мог соединиться с другим компом через TeamViewer. Это конечно "костыль", но он заставил меня взглянуть на проблему иначе.
Короче, я взял чудесную программку SoftEther VPN Client Manager, которой пользуюсь уже очень давно и тупо настроил её подключаться с серверам VPN через прокси этого-же ящика-фильтра - в моём случае это 10.0.64.52:3128
Всё. Опять радуемся свободному интернету.

Answer 2

[granty]

Не зная "конкретики" трудно предложить конкретное решение. Вот база знаний хабра на тему обхода блокировок РКН:
Программа-определитель типа блокировки сайтов у пр... 2014 г.
* Знание типа блокировки помогает найти оптимальное решение её обхода.

Исследование механизма блокировки сайтов «Ростелек... 2015 г.
Прозрачный обход блокировок в домашней сети 2015 г
Автономный способ обхода DPI и эффективный способ ... 2017 г
Настройка BGP для обхода блокировок, или «Как я пе... 2018 г
Душевный Mikrotik против бездушного РКН и такого ж... 2019 г
Обход блокировок РКН с помощью DNSTap и BGP 2019 г.

- Ростелеком уже использует DPI для блокировки, поэтому надо смотреть методы против него.

- Резать VPN по номерам портов и типу пакетов они не должны - нарушится вся работа корпоративных удалённых офисов. Могут только блокировать доступ к некоторым VPN-провайдерам. Но никто не запрещает арендовать сервер на Амазон и поднять VPN через него.

PS: Как всегда на хабре - самое интересное бывает не в статье, а в комментариях к ней.

PPS: волшебная ссылка с добавлением site:habr.com в конце - даёт 99% ответов на любые технические вопросы.

Comments

[kardens]

Спасибо за подборку.
А какая "конкретика" нужна?

БлокЧек прогонял: не смог он определить блокировку.
Версию про ВПН полностью поддерживаю, т.к. например Тимвьювер работает без проблем. Буду значит подбирать подходящий ВПН.

[granty]

kardens, конкретика - тип используемой Ростелекомом блокировки:

1. Блокировка по DNS - блокирование не-провайдерских DNS-серверов перенаправление DNS-запросов от не-провайдерских DNS-серверов на провайдерский. А провайдерский DNS уже подделывает A-записи от DNS-сервера, блокируя запрещённые домены.

2. блокирование по IP-адресу из реестра запрещённых

3. блокирование с использованием DPI, но только на определённых IP и 80 порту

4. блокирование с использованием DPI на всех IP и всех портах (самый тяжёлый случай)

Если времени (и желания) на эксперименты нет - попробуйте VPN https://trust.zone/ru/order?p=27, на бесплатном тестовом периоде. Они утверждают, что пробивают даже китайский фаерволл, и есть маскировка VPN под обыкновенный https-трафик.
На Tele2 и Новотелеком он точно обходит все блокировки, я проверял на себе.

Там уже понятнее будет в каком направлении двигаться дальше.

[kardens]

granty, премного благодарен. Буду экспериментировать конечно, т.к. самому интересно решить задачку. О процессе буду отписываться.

Конечно надеялся на прецендентное решение проблемы, поэтому указал как признак, что в момент блокировки выдает страницу с перечнем законов и "выглядывающей" снизу черной кошкой. Может кто уже сталкивался с подобным. Отмечу еще, что это фильтр для образовательных учреждений (школ). Знаю, что к нему устанавливали какие-то сертификаты, а основной кабель выходит из установленного ящика с большим свичем и прочими бесперебойниками.

P.S. Сама выдаваемая страница имеет адрес то-ли nullref.com, то-ли refnull.com... Как-то так.

[CityCat4]

Резать VPN по номерам портов и типу пакетов они не должны

По номерам портов - да, обычно не режут. Режут по src ip. Юзерский комп не может устанавливать никакого VPN, Точка.
(Правда, если TeamViewer работает - значит не настолько и смарт этот фильтр :) TeamViewer глушится. Не скажу что элементарно, но глушится.

[granty]

kardens,

Отмечу еще, что это фильтр для образовательных учреждений (школ). Знаю, что к нему устанавливали какие-то сертификаты, а основной кабель выходит из установленного ящика с большим свичем и прочими бесперебойниками.

так это не блокировка РКН (это я тут тупанул), а контент-фильтр Ростелекома. В 2015 году он работал на базе WebFilter Entensys.

А свои сертификаты они ставят, чтобы мониторить https-трафик через MItM-атаку с подменой ssl-сертификатов.

Поэтому фильтр WebFilter Entensys имеет возможность:

«Инжектировать скрипт», позволяющая вставить необходимый код во все веб-страницы, просматриваемые пользователем перед тегом

даже на "зашифрованные" по https.

Для общеобразовательных учреждений они имеют право резать и VPN и всё, что угодно. И ещё это плохо тем, что у них всё логгируется, и факт обхода фильтра рано или поздно будет зафиксирован, что может иметь неприятные последствия в виде нарушения законов 139-ФЗ и 436-ФЗ.

Может, проще использовать интернет MTS/Tele2/Beeline через свою точку доступа смартфоне?

[kardens]

granty, с таким раскладом действительно проще со смартфона раздать.

[granty]

В интернетах пишут, что в образовательные учреждения периодически приходят "тетёньки" из прокуратуры и вводят в поиск всякие запрещённые слова для проверки этого контент-фильтра. Смотрят историю браузера, и тп.
По результатам выписывают протоколы и предписания.

Если вы не вмешивались в работу "чёрной коробочки", претензии будут не к вам, а к Ростелекому.
Это гарантирует, что вы не исчезнете из нашего сообщества на 5-6 лет. И будет вдвойне неприятно осознавать, что мы своими "советами" косвенно могли поспособствовать этому.

[kardens]

granty, конечно все сказанное Вами приму к сведению и лишних движений постараюсь не делать.

В ящике не ковырялся еще. Интересно конечно, но или потом или никогда...)

Answer 3

[CityCat4]

Я правильно понимаю, что Вам до зарезу хочется узнать, насколько эффективно в этой вашей госорганизации работает служба ИТ-безопасности (а если ее нет - то просто служба безопасности)? Полученное знание может отразиться на премии/карьере/дальнейшей работе - в зависимости от того, что за контора и что у Вас за положение внутри оной.
Вполне может быть, что от Вас запрещен вообще весь трафик наружу - я вот бы сделал именно так. Внутренний почтовый сервер и внутренний прокси, а наружу - просто вообще ничего.

Comments

[Артём]

Из вопроса понятно, что это школа, которая участвует в проекте "Цифровая страна" и автор ничем не рискует.

[CityCat4]

Артём, Из вопроса нихрена это не понятно - это раз. Вы - админ этого проекта, Вы точно знаете, какие данные там где кем и как собираются, чтобы вот так вот утверждать? Не? Тогда я вот бы не стал...

[kardens]

Нет, Вы не правильно понимаете. Службы безопасности тут вообще нет как-таковой. Просто пришли от Ростелекома, поставили ящик и ушли. Все. Здесь не оборонный завод. Люди привыкли в свободное время ходить на любимые, а мне нужны тех.ресурсы, многие из которых теперь не доступны. Да и фильтр этот работает как-то криво - один и тот-де сайт может быть сейчас доступен, а завтра уже нет. И наоборот.

[CityCat4]

kardens, Я-то как раз понимаю. В том числе и то, что не понимаете Вы :) Вы знаете, как этот ящик работает? Как он фильтрует, какие данные собирает и куда их отправляет?

Answer 4

[Денис Сечин]

А почему вы не обратитесь в Росстелеком?

Answer 5

[gr00vy]

Скорее всего используют поддельный сертификат для контентной фильтрации при защищенном подключении..