ЗаТелеком 🌐

Реальные способы блокировки (описанные в документе):

* Блокировка по реестру Роскомнадзора (РКН):

— Фильтрация по Единому реестру запрещённых ресурсов и реестру социально значимых ресурсов РКН. При срабатывании черного списка доступ к странице запрещается. HTTP-соединение перенаправляется на заданную страницу блокировки, а HTTPS или QUIC-соединение закрывается по RST (Reset the connection).

— Поддерживается фильтрация по SNI (Server Name Indication) для HTTPS и QUIC version 1 (RFC 9000). Если в запросе отсутствует поле SNI, запрос пропускается прозрачно. Проверяется входящий сертификат сервера, и если в нем указан запрещенный ресурс, соединение разрывается.

* Блокировка по пользовательским спискам фильтрации:

— Создание пользовательских списков, которые могут быть черными (запрещенные ресурсы) или белыми (разрешенные ресурсы). Белый список позволяет доступ только к перечисленным ресурсам и может использоваться для организации «детского интернета».

— Списки могут содержать URL, отдельные IPv4 и IPv6 адреса, диапазоны IPv4 адресов, подсети IPv4 и IPv6, а также Perl-совместимые регулярные выражения (PCRE).

— Действия при срабатывании: block (блокировка HTTPS и HTTP, перенаправление HTTP), drop (блокировка HTTPS и HTTP без отправки TCP RST), redirect (перенаправление HTTP), color (маркировка DiffServ), ignore (передача трафика в следующий по приоритету DPI-список) или pass (немедленная передача трафика, игнорируя другие DPI-списки).

Блокировка по базе ЦАИР (Центр анализа интернет-ресурсов):

— URL-фильтрация по категориям сайтов, содержащимся в базе ЦАИР. Все домены, содержащиеся в базе, блокируются аналогично принципу блокировки записей типа "domain-mask".

Блокировка по базе SkyDNS:

— URL-фильтрация по базе категорированных ресурсов SkyDNS. Позволяет фильтровать контент по категориям, таким как "Эротика, порнография", "Наркотики", "Терроризм, экстремизм" и др..

Блокировка протоколов (через DPI):

— Анализ трафика по сигнатурам протоколов и применение действий к распознанным протоколам. Протоколы могут быть указаны как по отдельности (например, SSH, SSL), так и по категориям (например, "Encrypted"). Действия аналогичны тем, что применяются к спискам DPI (block, drop, redirect и т.д.).

Блокировка с помощью BRAS-политик и сервисов:

— Действие drop: Сервис может быть настроен на полное отбрасывание трафика (action drop).

— Действие block: Перенаправление трафика на портал, например, для пополнения счета (action block).

— Перенаправление HTTP-трафика (redirect): Используется для периодического перенаправления на портал, например, с сайтов конкурентов или при необходимости пополнить счет. HTTPS-трафик при этом пропускается.

— Ограничение скорости (egress speed, ingress speed): Хотя это не прямая блокировка, жесткое ограничение скорости может фактически сделать доступ к ресурсу непригодным для использования, что эквивалентно блокировке.

Защита от TCP SYN Flooding (SYN Cookie + SYN Proxy):
— Механизм, блокирующий атаки типа TCP SYN Flooding. При этом SYN Proxy отбрасывает все GET-запросы клиента до успешного завершения согласования.

ГИПОТЕТИЧЕСКИЕ СПОСОБЫ блокировки (возможные на основе функционала, но не явно описанные как блокировка):

* Блокировка на основе IP-адресов источника/получателя (через ACL):
— Создание ACL, которые разрешают (permit / allow) или запрещают (deny) трафик на основе IP-адресов источника, назначения, портов, протоколов и VLAN ID. Эти ACL затем привязываются к пулам NAT, сервисам BRAS или DPI-спискам для применения правил. Например, можно заблокировать доступ к определенному IP-адресу или подсети.

* Блокировка по MAC-адресу:
— Хотя прямая блокировка по MAC-адресу в ACL не упоминается, ACL могут использоваться для определения трафика по IP-адресам. Если IP-адрес абонента является статическим или известен, косвенно можно добиться блокировки для устройства с определенным MAC-адресом, настроив ACL на этот IP-адрес.

🐳68🌭23

14.2K views12:35