forum.opennet.ru - "Раздел полезных советов: Обход блокировки трафика провайдеро..." (111)

"Раздел полезных советов: Обход блокировки трафика провайдеро..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Раздел полезных советов: Обход блокировки трафика провайдеро..."	+2 +/–
Сообщение от auto_tips (?), 09-Дек-16, 14:24
Многие провайдеры и корпоративные системы инспектирования трафика применяют для блокирования доступа к сайтам подстановку пакетов, перенаправляющих браузер пользователя на страницу с информацией о блокировке, при этом не обрывая изначально установленное соединение к заблокированному ресурсу. Например, запустив sudo tcpdump -nA -s1500 host заблокированный_IP и попытавшись отрыть заблокированный ресурс в браузере, можно увидеть такой пакет: 13:50:24.563093 IP 1.2.3.4.80 > 192.168.1.10.58072: Flags [.], seq 1777859077:1777859201, ack 3185912442, win 229, length 124 E.......2..a..x$...f.P..i.....*zP....V..HTTP/1.1 302 Found Connection: close Location: http://warning.bigprovider.ru/?id=61&st=0&dt=1.2.3.4&rs=http.../ при этом реальный ответ и другие пакеты с подпадающего под блокировку сайта продолжают приходить и не отбрасываются провайдером. Обойти подобную блокировку достаточно легко при помощи добавления на локальной Linux-системе правила: sudo iptables -I INPUT -p tcp --sport 80 -m string --string "Location: http://warning.bigprovider.ru" --algo bm -j DROP В случае HTTPS (подобным образом также часто блокируют Tor) блокировка обычно устраивается через подстановку в трафик RST-пакетов для принудительного обрыва соединения. Обходится данное ограничение следующим правилом: sudo iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROP Итог: Даже самые крупные провайдеры лукавят и вместо полноценной блокировки применяют сомнительные методы подстановки трафика, не блокируя фактически запрещённый трафик. Таким образом, описанная выше техника не может рассматриваться как метод обхода блокировки, так как пакеты с запрещённых ресурсов не блокируются и продолжают приходить на клиентскую систему, а приходящие от провайдера вкрапления лишь создают видимость блокировки и организуют проброс на стороне клиента. Клиент имеет полное право отбрасывать любые пакеты на своей системе и это не может рассматриваться как лазейка для обхода блокировки, которая не выполнена должным образом провайдером. Дополнение: Для выявления описанного выше вида блокировок можно использовать утилиту curl, в которой можно увидеть "хвост" реального ответа: $ curl -i --ignore-content-length http://badsite.org/ HTTP/1.1 302 Found Connection: close Location: http://warning.bitprovider.ru/?id=6&st=0&dt=1.2.3.4&rs=http:.../ 8 Location: http://badsite.org/forum/index.php Connection: keep-alive ... Если запросить конечную страницу, то можно получить её содержимое без манипуляций с iptables: curl -i --ignore-content-length --trace-asci dump.txt http://badsite.org/forum/index.php HTTP/1.1 302 Found Connection: close Location: http://warning.bigprovider.ru/?id=6&st=0&dt=1.2.3.4&rs=http:... ection: keep-alive 1fc0 ...содержимое HTML-документа. less dump.txt ... <= Recv header, 20 bytes (0x14) 0000: HTTP/1.1 302 Found <= Recv header, 19 bytes (0x13) 0000: Connection: close <= Recv header, 101 bytes (0x65) 0000: Location: http://warning.bigprovider.ru/?id=6&st=0&dt=1.2.3.4&rs=h 0040: ttp://badsite.org/forum/index.php <= Recv header, 2 bytes (0x2) 0000: <= Recv data, 1238 bytes (0x4d6) 0000: ection: keep-alive ... URL: Обсуждается: http://www.opennet.me/tips/info/2999.shtml
Ответить \| Правка \| Cообщить модератору

Оглавление

Теперь забанят опеннет, Past (?), 14:24 , 09-Дек-16, (1) +2
уже исправили, или уже было правильно сделано , Алексей (??), 14:41 , 09-Дек-16, (2)
ха и вправду помогло, зашел на парочку первых попавшихся заблокированных из реес, Я (??), 16:12 , 09-Дек-16, (3)

У меня Wayback Machine снова открылся Раньше через Тор открывал Хорошая команд, Zenitur (ok), 18:08 , 10-Дек-16, (17)

O_o А чем ВэбАрхим им помешал , Neandertalets (ok), 11:10 , 22-Июл-17, (103)

Когда делаю iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROPВыд, th3m3 (ok), 17:02 , 09-Дек-16, (4)

Запускай без --sport iptables -I INPUT -p tcp --tcp-flags RST RST -j DROP , Аноним (-), 17:05 , 09-Дек-16, (5) +1
lmddgtfy http serverfault com a 563036, Andrey Mitrofanov (?), 17:06 , 09-Дек-16, (6)

Спасибо Блин, всё работает На рутрекер зашёл без проблем , th3m3 (ok), 17:11 , 09-Дек-16, (7) +2

А под Windows что и как прописывать , Аноним (-), 00:46 , 10-Дек-16, (8)

хомячки должны страдать , Fixer (?), 06:57 , 10-Дек-16, (9) +1
а если серьезно то самый простой вариант купить железку с linux аля mikrotik Ro, Fixer (?), 07:04 , 10-Дек-16, (10)

Почти у каждого виндового пользователя дома стоит беспроводной рутер, точка wifi, Аноним (-), 09:04 , 10-Дек-16, (11)

Подробнее бы , Аноним (-), 20:16 , 11-Дек-16, (22) –1

Что подробнее Если ты не можешь запустить телнет или ssh и зайти ими на девайс , Аноним (-), 17:07 , 12-Дек-16, (31) +1

101 что модуля string там нет А вот с RST правило пойдет Полностью согласен , Онанимус (?), 13:25 , 13-Дек-16, (45)

только на роутере нужно это правило в FORWARD добавлять, чтобы работало не для с, Аноним всея Интернета (?), 01:28 , 16-Авг-17, (104)

Лучше что-нибудь с openwrt, там нормальный линукс без кучи ограничений и с множе, Аноним (-), 01:01 , 12-Дек-16, (23)
А можно пример правил показать, пожалуйста , Аноним (-), 00:24 , 17-Дек-16, (58) –1

Под винду полно фаерволов разных я, правда, 10 лет не смотрел на них Эксперим, Аноним (-), 19:52 , 12-Дек-16, (34)

Я так понимаю с HTTPs это не прокатит , Сергей (??), 09:58 , 10-Дек-16, (12) +1

Правило с убиванием пакетов RST прокатывает Другое дело, что не везде, так как , Аноним (-), 10:49 , 10-Дек-16, (15)

iptables -I INPUT -p tcp --sport 443 --tcp-flags RST RST -j DROPНо ведь в так, Владимир Владимирович (?), 10:37 , 10-Дек-16, (13)

нет, для нормального завершения соединения используется FIN, а флаг RST только д, Аноним (-), 10:47 , 10-Дек-16, (14)

Блин, реально работает Дроп RST -- мощно , Аноним (-), 16:43 , 10-Дек-16, (16)
Первое правило для http не пашет, uchiya (ok), 21:27 , 10-Дек-16, (18)

А вы точно строковую маску правильно для своего провайдера подобрали Какое именн, Аноним (-), 23:03 , 10-Дек-16, (19)

-I INPUT -p tcp --sport 80 -m string --string Location http blocked netbynet, Аноним (-), 19:59 , 12-Дек-16, (35)

Вам нужно точно знать, что выдает провайдер Нужно сниффирить, а не гадать 1 см, Онанимус (?), 13:49 , 13-Дек-16, (47)

Эх я бы еще понимал, что мне все это выдало curl -i --ignore-content-length rut, Аноним (-), 20:59 , 13-Дек-16, (48)

Попробуйте RST для 80 и 443 портов заблочить Вот тут у вас провайдер от имени р, Nas_tradamus (ok), 19:45 , 14-Дек-16, (53)

Добавил для Mikrotik роутера правило ip firewall filteradd chain input protocol , Аноним (-), 11:28 , 11-Дек-16, (20)

chain input ловит трафик, который адресован самому роутеру Для транзитного тр, Andrew (??), 18:46 , 11-Дек-16, (21)

Имею тоже микротик и не могу понять как провайдер так хитро придумал 1 Открываю, _KUL (ok), 09:08 , 12-Дек-16, (24)

прров ктт читать наоборот , _KUL (ok), 09:09 , 12-Дек-16, (25)

Порыбачил на линуксе, поймал злой пакет root debian curl -i --ignore-conte, _KUL (ok), 14:13 , 12-Дек-16, (29)

gt оверквотинг удален Всё просто - у тебя браузер кэширует 301 редирект - почи, Аноним всея Интернета (?), 01:35 , 16-Авг-17, (105)

Спасибо Помогло, Аноним (-), 10:56 , 12-Дек-16, (26)

В чем юмор первый команды, с фильтрацией по Location Оно же отбрасывает пакет с , Саня (??), 12:26 , 12-Дек-16, (27) –1

Юмор в том, что Вы не понимаете Смотрите -- над Вами смеются , Andrey Mitrofanov (?), 13:40 , 12-Дек-16, (28) –1
Смысл в том, что приходят два пакета с заголовками - первый, который отправил п, Freddy Cuper (?), 16:21 , 12-Дек-16, (30)

Не обрабатывается Сообщение от провайдера перестает показываться, но и браузер,, Саня (??), 13:36 , 13-Дек-16, (46)

Ну это у вас порядок пакетов в TCP нарушился Т е как будто вас запроксировали , _KUL (ok), 06:12 , 14-Дек-16, (49)

Для билайна похоже не работает Печаль , Аноним (-), 17:17 , 12-Дек-16, (32)

Очень похожу на то, что так маленькие провайдеры лочат, т к сервера глушилки ря, _KUL (ok), 06:15 , 14-Дек-16, (50)

Спасибо Применил на Raspberry Pi, который у меня как роутер Интересно, как то , Zenitur (ok), 18:38 , 12-Дек-16, (33)
Спасибо- все ok Дополню- провы еще и на уровне dns делают подмену дурдом ру - , ананизмус (?), 20:22 , 12-Дек-16, (36)

А если в etc resolv conf просто прописать нормальный днс 208 67 220 220 или 8 , Аноним (-), 21:58 , 12-Дек-16, (37) –2

Просто не поможет Либо пров перехватывает обращение к внещним серверам, либо у , ананизмус (?), 11:28 , 13-Дек-16, (44)

Поздравляю с открытием, 8 8 x x от гугла - это anycast, он не уникальный И пров, Аноним (-), 20:29 , 15-Янв-17, (87)

Часть российских провов много лет перехватывает все запросы на 53 udp и 53 tcp и, Укпшд (?), 18:08 , 14-Янв-17, (85)

Блин, слушай, чувак, ты, который написал этот пост, невыразимый тебе респектище , Аноним (-), 22:01 , 12-Дек-16, (38) +1
В Билайне ничего из этого не работает А как теперь вернуть всё обратно , garrick (?), 22:46 , 12-Дек-16, (39) –1

iptables -FВсе правила очистятся , Аноним (-), 02:20 , 13-Дек-16, (40)

Спасибо, garrick (?), 08:26 , 13-Дек-16, (41)

Вообще то sudo rm -rf было бы корректнее , _KUL (ok), 06:16 , 14-Дек-16, (51) –3

это шутка зачем вы вводите от рута то, не понимая, что оно делает это же не по, _KUL (ok), 06:18 , 14-Дек-16, (52)

У меня местный провайдер еще проще делает Вообще ничего не блокирует Только по, korrado (?), 08:50 , 13-Дек-16, (42)
заблокированных сайтов Опечатался, korrado (?), 08:52 , 13-Дек-16, (43)
Onlime Ростелеком - не работает Провайдер сразу после рукопожатия шлет редире, Nas_tradamus (ok), 01:26 , 15-Дек-16, (54)

Долго вкуривал в tcpdump и счетчики firewall mikrotik - все так и есть, я нигд, Nas_tradamus (ok), 01:40 , 15-Дек-16, (55)
Провайдер Онлайм - только что реализовал на микротике - нет проблем всё равботае, Krot (??), 16:40 , 15-Дек-16, (56)
От суперюзера iptables -I INPUT -p tcp --tcp-flags RST RST -j DROPiptables -I IN, M. (?), 18:34 , 17-Дек-16, (59)
Поправка вышесказанное действительно только для рутрекера по http По https отб, Nas_tradamus (ok), 02:31 , 18-Дек-16, (60)

Пытаюсь сделать, в ответ получаю iptables No chain target match by that name , Анончик (?), 17:10 , 16-Дек-16, (57)

lsmod 124 grep ts_bm, pavlinux (ok), 02:15 , 19-Дек-16, (64)

kinozal tv не работает , y (??), 20:46 , 18-Дек-16, (61)

Подтверждаю Онлайм В сторону кинозала только syn от меня летят, а обратно вооб, Nas_tradamus (ok), 01:43 , 19-Дек-16, (62)

kinozal website работает перкрасно, trublast (?), 07:42 , 19-Дек-16, (66)

Сосём Location http block mgts ru , pavlinux (ok), 02:12 , 19-Дек-16, (63)
Отправляют пользователю RST только какие-то совсем доморощенные блокировщики Чу, trublast (?), 07:41 , 19-Дек-16, (65)

Скорее наоборот, доморощенные блокируют нормально, а крупные особо не парятся с , Аноним (-), 11:31 , 19-Дек-16, (68)

Откуда инфа, что он не шлёт ещё куда-то , pavlinux (ok), 19:00 , 04-Янв-17, (81)

С какой целью интересуетесь , Анином (?), 08:52 , 25-Янв-17, (88) +1

Блокировка такими способами не добавляет провайдерам никаких хлопот и финансовых, Сноуден (?), 19:27 , 19-Дек-16, (69)

в известных мне системах внедрение блокировки от довольно популярного билинга , nikosd (ok), 20:28 , 20-Дек-16, (71)

Статистика этого треда показывает обратное RST шлют при https коннектах, при ht, Онанимус (?), 10:47 , 23-Дек-16, (72)

Мысли были про https - только RST, если http , то к Вам придет перенаправление, nikosd (ok), 11:01 , 23-Дек-16, (73)

Как же они без DPI openvpn рукопожатия отлавливают и шейпером загоняют в низкий , Онанимус (?), 13:36 , 23-Дек-16, (74)

У МГТС не робит Реального хвоста нет, похоже действительно ограничивают , key (??), 23:07 , 19-Дек-16, (70) +1
А я тут, кстати, обнаружил, что некоторые облака которые я не буду называть зде, freehck (ok), 15:44 , 26-Дек-16, (75)

VPS-провайдеры не блокируют Да и не обязаны , marios (ok), 02:26 , 27-Дек-16, (76)

Что, серьёзно То есть это не мне повезло, а через любого VPS-провайдера можно к, freehck (ok), 06:38 , 27-Дек-16, (77)

Ну понял ты, а писать всем об этом зачем Не порть бизнес https antizapret pro, Константин (??), 20:59 , 29-Дек-16, (79)

Не подскажете- у меня никаких RST нет, и курлу и вгету и всем браузерам приходит, anonkot (?), 03:12 , 02-Янв-17, (80)

Инспектируйте трафик от links2 и от curl с помощью tcpdump и или wireshark и сра, Аноним (-), 19:45 , 09-Янв-17, (82)

А может кто подскажет нормальный VPN где можно взять , 858d214ba09f174963f9d4f132585a83 (?), 21:07 , 10-Янв-17, (84)

Зависит от критериев нормальности , Аноним (-), 20:22 , 15-Янв-17, (86)
Поднять через виртуалку в нормальной стране Копейки стоит , Вареник (?), 08:02 , 31-Янв-17, (90)
Амазон вроде на год vps на халяву дает, Аноним (-), 15:50 , 08-Фев-17, (92)

Для домолинка калужского не работает, на запрос к xhamster отдает HTTP 1 1 451 U, SpaceRaven (ok), 06:22 , 28-Янв-17, (89)
Самый простой, лучший и гарантированно рабочий способ обойти блокировки роскомми, гг (?), 19:45 , 23-Фев-17, (94) –1

Там где нет РОСнадзора, там есть XXXнадзор, только ещё грознее, злее и хитрее , Himik (ok), 02:10 , 26-Фев-17, (95)

Мегафон не халтурит похоже , L29Ah (?), 04:50 , 15-Мрт-17, (96)
Спасибо, мил человек Всё работает, только ещё пришлось dnscrypt-proxy поставить, Аноним (-), 13:39 , 09-Май-17, (98)
Зачем хомяков-провайдеров нагружают этож на магистральщиках решается всё А их в , Аноним (-), 10:20 , 09-Июн-17, (100)
старая опера не знает про name server indication, поэтому https сайты работаю, а, 5percent (?), 15:27 , 22-Июн-17, (101)

Старая, это какая конкретно версия Спасибо , kadafy (?), 00:54 , 14-Янв-18, (106)

Скоро придёт запрос к Опеннету на удаление данной страницы D, svsd_val (ok), 05:41 , 27-Июн-17, (102)
а для винда подходит , пфф (?), 08:04 , 26-Янв-18, (107)
Слушайте а в системе андроид такая хрень Пройдет У моего оператора такая хрень, Anonim (??), 17:22 , 09-Фев-19, (108)
а как на прошивке падаван подобное реализовать провайдер ростелеком, vo1 (?), 22:50 , 16-Дек-19, (109)

тоже Рт, вот что отловилhttps i imgur com z1sIttm png, XAuBAH (?), 00:10 , 18-Июн-20, (110)

с МГТС не прокатило , avsprv (ok), 15:19 , 17-Апр-21, (111)
с рт дос их пор прокатывает я ни магу, zzr (??), 20:39 , 22-Ноя-21, (112)

not anymore, gone (?), 20:38 , 29-Дек-21, (113)

Всё Статья неактуальная РТ теперь повзрослому блокирует , фвыыфваыв (?), 00:23 , 07-Янв-22, (114)

Теперь все, халява кончилась , Подтверждаю (?), 15:12 , 20-Янв-22, (115)
А есть инфа, как именно гудбайдипиай справляется, а микротик нет - все пакеты с, etomoynick (?), 14:03 , 15-Фев-22, (116)
Ктор-нибудь нашел новый шаблон для обхода блокировок Что-то я RST пакеты отбр, Любитель РТК (?), 17:23 , 02-Янв-23, (117)

А кто-нибудь может всё это добро адаптировать к openwrt и его nft , Jenkins (?), 11:08 , 06-Авг-24, (118)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Past (?), 09-Дек-16, 14:24 +2 +/–

Теперь забанят опеннет

Ответить | Правка | Наверх | Cообщить модератору

2. Сообщение от Алексей (??), 09-Дек-16, 14:41 +/–

уже исправили, или уже было правильно сделано))

Ответить | Правка | Наверх | Cообщить модератору

3. Сообщение от Я (??), 09-Дек-16, 16:12 +/–

ха и вправду помогло, зашел на парочку первых попавшихся заблокированных из реестра спокойно.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

4. Сообщение от th3m3 (ok), 09-Дек-16, 17:02 +/–

Когда делаю: iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROP
Выдаёт:
iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROP
iptables v1.6.0: unknown option "--sport"
Try `iptables -h' or 'iptables --help' for more information.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5, #6

5. Сообщение от Аноним (-), 09-Дек-16, 17:05 +1 +/–

Запускай без --sport:
iptables -I INPUT -p tcp --tcp-flags RST RST -j DROP

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

6. Сообщение от Andrey Mitrofanov (?), 09-Дек-16, 17:06 +/–

> iptables v1.6.0: unknown option "--sport"
lmddgtfy! http://serverfault.com/a/563036

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #7

7. Сообщение от th3m3 (ok), 09-Дек-16, 17:11 +2 +/–

Спасибо!
Блин, всё работает! На рутрекер зашёл без проблем!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

8. Сообщение от Аноним (-), 10-Дек-16, 00:46 +/–

А под Windows что и как прописывать?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #10, #34

9. Сообщение от Fixer (?), 10-Дек-16, 06:57 +1 +/–

хомячки должны страдать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

10. Сообщение от Fixer (?), 10-Дек-16, 07:04 +/–

> А под Windows что и как прописывать?
а если серьезно то самый простой вариант купить железку с linux  аля mikrotik/RouterOS и запульнуть rules там. Ну или поставить linux с виртуалкой винды

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #11, #23, #58

11. Сообщение от Аноним (-), 10-Дек-16, 09:04 +/–

Почти у каждого виндового пользователя дома стоит беспроводной рутер, точка wifi-доступа или DSL-модем с Linux. Можно на домашнем рутере правило прописать, правда через web-интерфейс дополнительные опции iptables скорее всего не даст указать, придётся через telnet/ssh прописывать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #22, #104

12. Сообщение от Сергей (??), 10-Дек-16, 09:58 +1 +/–

Я так понимаю с HTTPs это не прокатит...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15

13. Сообщение от Владимир Владимирович (?), 10-Дек-16, 10:37 +/–

   iptables -I INPUT -p tcp --sport 443 --tcp-flags RST RST -j DROP
Но ведь в таком случае мы получим кучу висячих HTTPS соединений на клиентской машине, разве нет?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #14

14. Сообщение от Аноним (-), 10-Дек-16, 10:47 +/–

> Но ведь в таком случае мы получим кучу висячих HTTPS соединений на клиентской машине, разве нет?
нет, для нормального завершения соединения используется FIN, а флаг RST только для обрыва. На практике он очень редко применяется, можете запустить в обычных условиях tcpdump и последить за появлением RST.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

15. Сообщение от Аноним (-), 10-Дек-16, 10:49 +/–

> Я так понимаю с HTTPs это не прокатит...
Правило с убиванием пакетов RST прокатывает. Другое дело, что не везде, так как некоторые продолжают список IP для блокировки HTTPS загружать в межсетевой экран.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

16. Сообщение от Аноним (-), 10-Дек-16, 16:43 +/–

Блин, реально работает. Дроп RST -- мощно.

Ответить | Правка | Наверх | Cообщить модератору

17. Сообщение от Zenitur (ok), 10-Дек-16, 18:08 +/–

У меня Wayback Machine снова открылся. Раньше через Тор открывал. Хорошая команда, слушай.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #103

18. Сообщение от uchiya (ok), 10-Дек-16, 21:27 +/–

Первое правило для http не пашет

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #19

19. Сообщение от Аноним (-), 10-Дек-16, 23:03 +/–

А вы точно строковую маску правильно для своего провайдера подобрали?
Какое именно в iptables правило добавили и что выдаёт curl -i --ignore-content-length http://запрещённый_сайт ?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #35

20. Сообщение от Аноним (-), 11-Дек-16, 11:28 +/–

Добавил для Mikrotik роутера правило
/ip firewall filter
add chain=input protocol=tcp src-port=80 content="Location: http://blocked.kvidex.ru/" comment="Drop block" action=drop
Не работает. Может кто-нибудь подсказать в чем проблема?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21

21. Сообщение от Andrew (??), 11-Дек-16, 18:46 +/–

chain=input "ловит" трафик, который адресован самому роутеру. Для транзитного трафика нужно chain=forward.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #24, #26

22. Сообщение от Аноним (-), 11-Дек-16, 20:16 –1 +/–

> через telnet/ssh прописывать.
Подробнее бы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #31

23. Сообщение от Аноним (-), 12-Дек-16, 01:01 +/–

> а если серьезно то самый простой вариант купить железку с linux
> аля mikrotik/RouterOS и запульнуть rules там. Ну или поставить linux с
> виртуалкой винды
Лучше что-нибудь с openwrt, там нормальный линукс без кучи ограничений и с множеством дополнительных пакетов. Можно еще и прокси блокирующий рекламу поставить, например.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

24. Сообщение от _KUL (ok), 12-Дек-16, 09:08 +/–

Имею тоже микротик и не могу понять как провайдер так хитро придумал.
1. Открываю фаерфокс, жму ф12, смотрю в консоли раздел сеть.
2. Ввожу адрес злого сайта, моментально получаю переход на страничку провайдера с ипом о блокировке. В консоли браузера вижу гет хопы, сначала злой сайт и ответ с локейшеном на страничку блокировки, а дальше хоп странички блокировки.
3. Делаю правило, - не ловит!
Мониторил на микротике, пакеты в сторону злого сайта не идут! ваершарк этот первый гет не видит, как будто его вообще не было! А в виндовая утилитка Tcpview.exe даже и не показывает, что браузер создал сессию тсп новую. Как блин тогда пакет приходит? Я уже думал в микротике ни так делаю, добавил вместо локейшена по другому элемента запроса лочить - всё отлично! Т.е. как будто браузер на злой сайт через проксю кидает (в заголовке X-...чегототам кстати указан squid), но ни каких пакетов на порт 3128 не пролетает. А если принудительно открыть сайт-заглушку провайдера, то всё отлично пролетает гет и ваершарк видит и микротик.
Как провайдер так сделал, что при переходе на злой сайт браузер видит локейшен, но пакета нет ... хитрый прозрачный прокси? яваскриптсокет некий создаётся(было подозрительно, что pid 0 svchost создал порт)? новая технология сетевого обмена вместо tcp/ip уже внедрена?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #25, #105

25. Сообщение от _KUL (ok), 12-Дек-16, 09:09 +/–

прров ктт (читать наоборот)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #29

26. Сообщение от Аноним (-), 12-Дек-16, 10:56 +/–

Спасибо! Помогло

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

27. Сообщение от Саня (??), 12-Дек-16, 12:26 –1 +/–

В чем юмор первый команды, с фильтрацией по Location?
Оно же отбрасывает пакет с HTTP-заголовком целиком, то есть сайт как не открывался, так и не открывается.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #28, #30

28. Сообщение от Andrey Mitrofanov (?), 12-Дек-16, 13:40 –1 +/–

> В чем юмор первый команды, с
> Оно же отбрасывает пакет
>как не открывался, так и не открывается.
Юмор в том, что Вы не понимаете.  Смотрите -- над Вами смеются.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

29. Сообщение от _KUL (ok), 12-Дек-16, 14:13 +/–

Порыбачил на линуксе, поймал злой пакет ...
root@debian:~# curl -i --ignore-content-length http://rutracker.org
HTTP/1.1 301 Moved Permanently
Server: squid/3.4.8
Date: Mon, 12 Dec 2016 11:12:49 GMT
Content-Length: 0
Location: http://62.33.207.196/
X-Cache: MISS from blacklist.ttk.ru
X-Cache-Lookup: MISS from blacklist.ttk.ru:3128
Via: 1.1 blacklist.ttk.ru (squid)
Connection: keep-alive
Самое обидное, что мой провайдер реально блочит трафик, и после правила iptables счётчик блокированных пакетов растёт и ничего больше не приходит после подменённого пакета ... Заглушка видать просто для информативности юзеру прикрутили, эх ;'(

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

30. Сообщение от Freddy Cuper (?), 12-Дек-16, 16:21 +/–

> В чем юмор первый команды, с фильтрацией по Location?
> Оно же отбрасывает пакет с HTTP-заголовком целиком, то есть сайт как не
> открывался, так и не открывается.
Смысл в том, что приходят два пакета с заголовками -  первый, который отправил провайдер, а второй ответ реального сервера. Провайдерский, используемый для блокировки, приходит первым, так как сеть провайдера рядом. Следом приходит реальный ответ, но подставной ответ провайдера уже обработан и реальный ответ отбрасывается. Убив подставной пакет с заголовком от провайдера реальный ответ от сервера обрабатывается как без блокировки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #46

31. Сообщение от Аноним (-), 12-Дек-16, 17:07 +1 +/–

> Подробнее бы.
Что подробнее? Если ты не можешь запустить телнет или ssh и зайти ими на девайс - тебе надо почитать какой-нибудь букварь по системному администрированию *nix немного.
После того как ты зашел на девайс - там скорее всего тоже iptables. Просто потому что внутрях почти все роутеры и точки доступа давно уже являют собой мелкие компьютеры с Linux на борту. Разбираешься как правила сделаны и вклиниваешь свое правило в духе вот этих. Тоже корее всего в таблицу forward. Единственная проблема - файловая система в роутере часто readonly и изменения живут до первой перезагрузки устройства. Поэтому народу и нравится https://openwrt.org/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #45

32. Сообщение от Аноним (-), 12-Дек-16, 17:17 +/–

Для билайна похоже не работает. Печаль ;(

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #50

33. Сообщение от Zenitur (ok), 12-Дек-16, 18:38 +/–

Спасибо! Применил на Raspberry Pi, который у меня как роутер. Интересно, как то же самое применить на SUSE-роутере...

Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от Аноним (-), 12-Дек-16, 19:52 +/–

Под винду полно фаерволов разных (я, правда, 10 лет не смотрел на них). Экспериментируй. Не слушай этих умников.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

35. Сообщение от Аноним (-), 12-Дек-16, 19:59 +/–

> А вы точно строковую маску правильно для своего провайдера подобрали?
> Какое именно в iptables правило добавили и что выдаёт curl -i --ignore-content-length
> http://запрещённый_сайт ?
-I INPUT -p tcp --sport 80 -m string --string "Location: http://blocked.netbynet.ru" --algo bm -j DROP
Правильно?
Баннер с предупреждением не открывается, но и сайт тоже

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #47

36. Сообщение от ананизмус (?), 12-Дек-16, 20:22 +/–

Спасибо- все ok. Дополню- провы еще и на уровне dns делают подмену(дурдом.ру) - в /etc/hosts прописываем верную пару ip домен (или биндим в своей локлаьной прокси) + правило и все работает.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37

37. Сообщение от Аноним (-), 12-Дек-16, 21:58 –2 +/–

А если в /etc/resolv.conf просто прописать нормальный днс (208.67.220.220 или 8.8.4.4)?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #44, #85

38. Сообщение от Аноним (-), 12-Дек-16, 22:01 +1 +/–

Блин, слушай, чувак, ты, который написал этот пост, невыразимый тебе респектище!!!

Ответить | Правка | Наверх | Cообщить модератору

39. Сообщение от garrick (?), 12-Дек-16, 22:46 –1 +/–

В Билайне ничего из этого не работает. А как теперь вернуть всё обратно?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #40

40. Сообщение от Аноним (-), 13-Дек-16, 02:20 +/–

iptables -F
Все правила очистятся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #41

41. Сообщение от garrick (?), 13-Дек-16, 08:26 +/–

Спасибо

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #51

42. Сообщение от korrado (?), 13-Дек-16, 08:50 +/–

У меня местный провайдер еще проще делает. Вообще ничего не блокирует. Только подменяет DNS-ответы для заблокированных файлов своим сервером со страницей про то что сайт заблокирован. Просто поставил BIND на компе и прописал DNS сервер на 127.0.0.1 и вуаля, все заработало :)

Ответить | Правка | Наверх | Cообщить модератору

43. Сообщение от korrado (?), 13-Дек-16, 08:52 +/–

заблокированных сайтов :)
Опечатался

Ответить | Правка | Наверх | Cообщить модератору

44. Сообщение от ананизмус (?), 13-Дек-16, 11:28 +/–

Просто не поможет. Либо пров перехватывает обращение к внещним серверам, либо у него где то локлаьно ip тех dns прописаны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #87

45. Сообщение от Онанимус (?), 13-Дек-16, 13:25 +/–

> После того как ты зашел на девайс - там скорее всего тоже
> iptables.
101% что модуля string там нет. А вот с RST правило пойдет.
> Поэтому народу и нравится https://openwrt.org/
Полностью согласен.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

46. Сообщение от Саня (??), 13-Дек-16, 13:36 +/–

Не обрабатывается. Сообщение от провайдера перестает показываться, но и браузер, и CURL при попытке открытии подобных сайтов начинают выдавать
curl: (56) Recv failure: Connection reset by peer

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #49

47. Сообщение от Онанимус (?), 13-Дек-16, 13:49 +/–

> -I INPUT -p tcp --sport 80 -m string --string "Location: http://blocked.netbynet.ru" --algo bm -j DROP
> Правильно?
> Баннер с предупреждением не открывается, но и сайт тоже
Вам нужно точно знать, что выдает провайдер. Нужно сниффирить, а не гадать:
1. смотрим IP сайта:
$ host xhamster.com
xhamster.com has address 88.208.29.24
xhamster.com has address 88.208.18.30
-skip-
взял специально xhamster - у него два IP (у rutracker.org - один, там проще)
2. в одной консоли сниффирим:
$ sudo tcpdump -n -ieth0 -s0 -w /tmp/foo host 88.208.29.24 or 88.208.18.30
для rutracker:
$ sudo tcpdump -n -ieth0 -s0 -w /tmp/foo host 195.82.146.214 (or X.X.X.X не надо)
3. в другой консоли делаем запрос:
$ curl -i --ignore-content-length http://xhamster.com
4. в первой консоли жмем CTRL-C и смотрим посниффаное:
$ sudo tcpdump -n -s0 -AA -r /tmp/foo |less -S

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #48

48. Сообщение от Аноним (-), 13-Дек-16, 20:59 +/–

Эх. я бы еще понимал, что мне все это выдало.
curl -i --ignore-content-length rutracker.org
HTTP/1.1 307 Temporary Redirect
Location: http://blocked.netbynet.ru/rkndeny_1.html
Вроде как случай другой. Если заблочить пакет, который предлагает редирект, то будет счастье?
9 пакетов отловлено
20:50:21.402653 IP 95.221.70.4.39408 > 195.82.146.214.80: Flags [S], seq 101263392, win 29040, options [mss 1452,sackOK,TS val 8918899 ecr 0,nop,wscale 7], length 0
................E..<?S@.@..^_.F..R.....P.       ( ......qp.(.........
...s........
20:50:21.453780 IP 195.82.146.214.80 > 95.221.70.4.39408: Flags [S.], seq 3710449692, ack 101263393, win 14600, options [mss 1360], length 0
................E..,..@.9.E..R.._.F..P...(...   (!`.9........P
20:50:21.453899 IP 95.221.70.4.39408 > 195.82.146.214.80: Flags [.], ack 1, win 29040, length 0
................E..(?T@.@..q_.F..R.....P.       (!.(..P.qp....
20:50:21.454083 IP 95.221.70.4.39408 > 195.82.146.214.80: Flags [P.], seq 1:78, ack 1, win 29040, length 77: HTTP: GET / HTTP/1.1
................E..u?U@.@..#_.F..R.....P.       (!.(..P.qpu...GET / HTTP/1.1
Host: rutracker.org
User-Agent: curl/7.47.0
Accept: */*

20:50:21.477530 IP 195.82.146.214.80 > 95.221.70.4.39408: Flags [FP.], seq 1:89, ack 78, win 29040, length 88: HTTP: HTTP/1.1 307 Temporary Redirect
................E.....@.=.An.R.._.F..P...(...   (nP.qp.^..HTTP/1.1 307 Temporary Redirect
Location: http://blocked.netbynet.ru/rkndeny_1.html

20:50:21.477874 IP 95.221.70.4.39408 > 195.82.146.214.80: Flags [F.], seq 78, ack 90, win 29040, length 0
................E..(?V@.@..o_.F..R.....P.       (n.(.vP.qp....
20:50:21.500747 IP 195.82.146.214.80 > 95.221.70.4.39408: Flags [R.], seq 90, ack 79, win 29040, length 0
................E..(..@.=.A..R.._.F..P...(.v.   (oP.qp....
20:50:23.720698 IP 195.82.146.214.80 > 95.221.70.4.39404: Flags [F.], seq 950045130, ack 3570452697, win 14600, length 0
................E..(..@.9....R.._.F..P..8.......P.9..o..
20:50:23.720751 IP 95.221.70.4.39404 > 195.82.146.214.80: Flags [R], seq 3570452697, win 0, length 0

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #47 Ответы: #53

49. Сообщение от _KUL (ok), 14-Дек-16, 06:12 +/–

Ну это у вас порядок пакетов в TCP нарушился. Т.е. как будто вас запроксировали. В теории то злой хост напрямую с вами сессию начинает устанавливать, а не через провайдера. В ваершарке по L4 заголовкам пакетов проследите, на каком этапе приходит пакет с прошлым номером ожидая при этом следующий.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

50. Сообщение от _KUL (ok), 14-Дек-16, 06:15 +/–

Очень похожу на то, что так маленькие провайдеры лочат, т.к. сервера глушилки рядом. А магистралы походу хитрее и грознее, т.к. у них одна/несколько централизованных точек, до которых пакет может и через всю Россию идти, а это может быть дольше чем до злого хоста.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

51. Сообщение от _KUL (ok), 14-Дек-16, 06:16 –3 +/–

Вообще то "sudo rm -rf /" было бы корректнее!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #52

52. Сообщение от _KUL (ok), 14-Дек-16, 06:18 +/–

> Вообще то "sudo rm -rf /" было бы корректнее!
это шутка. зачем вы вводите от рута то, не понимая, что оно делает? это же не по сноуденовски ...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

53. Сообщение от Nas_tradamus (ok), 14-Дек-16, 19:45 +/–

Попробуйте RST для 80 и 443 портов заблочить .
> 20:50:21.500747 IP 195.82.146.214.80 > 95.221.70.4.39408: Flags [R.], seq 90, ack 79, win 29040, length 0
Вот тут у вас провайдер от имени рутрекера шлет reset.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

54. Сообщение от Nas_tradamus (ok), 15-Дек-16, 01:26 +/–

Onlime (Ростелеком) - не работает. Провайдер сразу после рукопожатия шлет редирект и никакого реального трафика. RST по http/https заблокировал - не помогло.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #55, #56, #59, #60

55. Сообщение от Nas_tradamus (ok), 15-Дек-16, 01:40 +/–

> Onlime (Ростелеком) - не работает. Провайдер сразу после рукопожатия шлет редирект и
> никакого реального трафика. RST по http/https заблокировал - не помогло.
Долго вкуривал в tcpdump и счетчики firewall (mikrotik) - все так и есть, я нигде не ошибся. Провайдер не пропускает реальный tcp-ответ :(

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

56. Сообщение от Krot (??), 15-Дек-16, 16:40 +/–

Провайдер Онлайм - только что реализовал на микротике - нет проблем всё равботает:
chain=forward action=drop tcp-flags=rst protocol=tcp src-port=443 log=no log-prefix=""
chain=forward action=drop tcp-flags="" protocol=tcp src-port=80 content=Location: http://warning.rt.ru/ log=no log-prefix=""

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

57. Сообщение от Анончик (?), 16-Дек-16, 17:10 +/–

> iptables -I INPUT -p tcp --sport 80 -m string --string "Location: http://warning.bigprovider.ru" --algo bm -j DROP
Пытаюсь сделать, в ответ получаю "iptables: No chain/target/match by that name.". Цепочка INPUT есть, таргет DROP тоже, ибо правило с дропом резетов из HTTPS проглатывает нормально.
Подозреваю что ругается на -m string, ибо на "iptables -I INPUT -m string --algo bm --string "test" -j DROP" тоже ругается. Но "iptables -m string -h" выдаёт полный хелп...
Что за херня?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #64

58. Сообщение от Аноним (-), 17-Дек-16, 00:24 –1 +/–

>mikrotik/RouterOS и запульнуть rules там.
А можно пример правил показать, пожалуйста?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

59. Сообщение от M. (?), 17-Дек-16, 18:34 +/–

От суперюзера:
iptables -I INPUT -p tcp --tcp-flags RST RST -j DROP
iptables -I INPUT -p tcp --sport 80 -m string --string "Location: http://warning.rt.ru/" --algo bm -j DROP
Онлайм же как раз. У меня заработало. У вас гранаты не той системы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

60. Сообщение от Nas_tradamus (ok), 18-Дек-16, 02:31 +/–

> Onlime (Ростелеком) - не работает. Провайдер сразу после рукопожатия шлет редирект и
> никакого реального трафика. RST по http/https заблокировал - не помогло.
Поправка: вышесказанное действительно только для рутрекера по http. По https отбиваешь RST - и все ок!
Для остальных сайтов все работает отлично.
У тех, у кого Микротик и что-то не получается: советую проверить не включен ли по-умолчанию fasttrack для forwarding. Если включен - выключите, а то будет работать только для FIN-пакетов. Он у меня был включен и я долго ломал голову почему на одних сайтах работает совпадение "content", а на других нет.
Еще размер пакета если ограничить диапазоном "100-250" байт, то это сильно снижает нагрузку на роутер и ускоряет обработку пакетов. Только так удалось добиться максимальной производительности в бенчмарках (прям как до включения фильтров в цепочке).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

61. Сообщение от y (??), 18-Дек-16, 20:46 +/–

kinozal.tv не работает...

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #62

62. Сообщение от Nas_tradamus (ok), 19-Дек-16, 01:43 +/–

> kinozal.tv не работает...
Подтверждаю. Онлайм. В сторону кинозала только syn от меня летят, а обратно вообще ничего. Через freegate все ок.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61 Ответы: #66

63. Сообщение от pavlinux (ok), 19-Дек-16, 02:12 +/–

Сосём!
Location: http://block.mgts.ru/

Ответить | Правка | Наверх | Cообщить модератору

64. Сообщение от pavlinux (ok), 19-Дек-16, 02:15 +/–

lsmod  | grep ts_bm

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

65. Сообщение от trublast (?), 19-Дек-16, 07:41 +/–

Отправляют пользователю RST только какие-то совсем доморощенные блокировщики. Чуть более нормальные (хотя работающие на том же принципе - сбросить соединение, но не блокировать сам трафик) помимо отправки RST пользователю еще шлют RST вебсерверу. Повлиять на который вы со своего роутера не сможете никак. Ну и в догонку еще DNS спуфят, для надежности и корректной блокировки https.
Если есть роутер, куда можно поставить openwrt, то на него же можно поставить tor и и прозрачно заворачивать нужные IP на ТОР, после чего доступ на всех устройствах за роутером заработает. Но скорость и стабильность соединения до ресурсов да,  просядет.
Если нужно просто глянуть информацию на каком-то таком ресурсе по быстрой, то лайфхак - отрыть страницу через translate.google.com Верстку рвет, но на смысл не влияет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #68

66. Сообщение от trublast (?), 19-Дек-16, 07:42 +/–

kinozal.website работает  перкрасно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

68. Сообщение от Аноним (-), 19-Дек-16, 11:31 +/–

> Отправляют пользователю RST только какие-то совсем доморощенные блокировщики.
Скорее наоборот, доморощенные блокируют нормально, а крупные особо не парятся с блокировкой. Например, Ростелеком, самый крупный оператор связи РФ, шлёт RST только клиенту.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #81

69. Сообщение от Сноуден (?), 19-Дек-16, 19:27 +/–

Блокировка такими способами не добавляет провайдерам никаких хлопот и финансовых рисков. А вот если бы их могли проконтролировать эксперты, а не просто пользователи-министры, которые получили редирект на страничку с предупреждением о блокировке на своем яблочном планшетике или телефончике и уже радуются аки дети, то было бы гораздо хуже и для пользователей и для провайдеров. А так и овцы целы и волки сыты.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #71

70. Сообщение от key (??), 19-Дек-16, 23:07 +1 +/–

У МГТС не робит. Реального хвоста нет, похоже действительно ограничивают.

Ответить | Правка | Наверх | Cообщить модератору

71. Сообщение от nikosd (ok), 20-Дек-16, 20:28 +/–

в известных мне системах ( внедрение блокировки от довольно популярного билинга) -  RST Будет единственным пакетом, который Вы увидите, то есть блокиратор шлет еще и от Вас RST.
Про пользователей, если кому- то очень  хочется  в условиях нынешнего законодательства РФ платить сильно больше за инет, то   вполне можно продвигать в массы  законодателей  идеи  полноценного DPI  на все ( закон Яровой  почти этого и требует).  Платить за быстрый инет станет сложнее всем, ну и  развитие его в  регионах с малой прибылью  будет свернуто.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #72

72. Сообщение от Онанимус (?), 23-Дек-16, 10:47 +/–

>RST Будет единственным пакетом, который Вы увидите
Статистика этого треда показывает обратное. RST шлют при https коннектах, при http присылают страницу - заглушку. Да и при https может прийти такое:
10:34:47.877915 IP 88.208.29.24.443 > 192.168.0.10.49344: Flags [F.], seq 1:92, ack 299, win 32120, length 91
..tw.\..g3....E...4...<...X......
.....%. ....P.}x.!..HTTP/1.1 307 Temporary Redirect
Location: http://forbidden.yota.ru/
Connection: close
У ёты, как мы знаем, DPI полноценный (еще и с шейперами).
>если кому- то очень  хочется
Это, смотря как посмотреть (
1. ЖКХ растет
2. продукты, водка и курево дорожает
3. автомобиль из средства передвижения превращается в роскошь
4. по телику сказали - инет подорожает
5. ...
N. А я вот день рожденья не буду справлять! Все з..о! П..ц на х.. б..ь! (с)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71 Ответы: #73

73. Сообщение от nikosd (ok), 23-Дек-16, 11:01 +/–

>>RST Будет единственным пакетом, который Вы увидите
> Статистика этого треда показывает обратное. RST шлют при https коннектах, при http
> присылают страницу - заглушку. Да и при https может прийти такое:
Мысли были про https -  только RST, если http ,  то к Вам придет перенаправление и не придет пакет от нормального сервера вообще.
> 10:34:47.877915 IP 88.208.29.24.443 > 192.168.0.10.49344: Flags [F.], seq 1:92, ack 299,
> win 32120, length 91
> ..tw.\..g3....E...4...<...X......
> .....%. ....P.}x.!..HTTP/1.1 307 Temporary Redirect
> Location: http://forbidden.yota.ru/
> Connection: close
> У ёты, как мы знаем, DPI полноценный (еще и с шейперами).
Что  там в ёта наворотила - не знаю, кстати совсем не уверен что  у них именно DPI блочит сайты, а не что - то еще,  с монитором, но без разрыва
>>если кому- то очень  хочется
> Это, смотря как посмотреть (
> 1. ЖКХ растет
> 2. продукты, водка и курево дорожает
> 3. автомобиль из средства передвижения превращается в роскошь
> 4. по телику сказали - инет подорожает
> 5. ...
> N. А я вот день рожденья не буду справлять! Все з..о! П..ц
> на х.. б..ь! (с)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #74

74. Сообщение от Онанимус (?), 23-Дек-16, 13:36 +/–

> Что  там в ёта наворотила - не знаю, кстати совсем не
> уверен что  у них именно DPI блочит сайты, а не
> что - то еще,  с монитором, но без разрыва
Как же они без DPI openvpn рукопожатия отлавливают и шейпером загоняют в низкий приоритет или вообще блочат нафик? Режим Турбо в Опере тоже ловят и роскомпозорят. Это у них не по IP адресам работает - если зайти по IP:
curl -i --ignore-content-length https://195.82.146.214
, то успеваешь получить сертификат и только затем бан:
13:18:13.695059 IP 195.82.146.214.443 > 192.168.1.244.55796: Flags [.], seq 1:1361, ack 274, win 15544, length 1360
..tw.\..Ru....E..xyC@./..w.R...........J5}>...P.<.@}......^...Z..X\........PU..........P{&f..w.U) v]R.5y....Al...-.Vq..B...;...6.../....................................0...0..................d..K.m]P0^M.     *.H.
.^MStartCom Ltd.1)0'..U... StartCom Certification Authority1&0$..U....StartCom Class 1 DV Server CA0..^M160409064158Z.^M170409064158Z0.1.0...U...^Mrutracker.org0.."0^M.        *.H..^M..........0..
.........{.......h..H..D^M+....n...EbJ.^M.5Q_Z...@...=T..%#...3,.T:.O.`...7..   ..WF..z.9..vMm....E.w.x..R1G&.._..{F\.......5..]W|.&...x....[.uf25Z.QG..^.B.s........\.-.........f...U7. .7..|...L..>.yb..B=..S*..1.
+.....y............u... ...X......gp
<5.......w...^M.....S...o.....F0D. .4F.Fw.....|_..G....[.a..&.6;.... 4O.>....0b...m.../.F...^....-,...v..K..u.`..Bi....f..~_.r....{.z......S...W.....G0E. k#...v$....M.)MP.U......V3"..rY..!....\8..`;q..w,.}x.q.
13:18:13.695085 IP 192.168.1.244.55796 > 195.82.146.214.443: Flags [.], ack 1361, win 31280, length 0
..Ru....tw.\..E..(..@.@.U......R......>....J:.P.z0....
13:18:13.703625 IP 195.82.146.214.443 > 192.168.1.244.55796: Flags [F.], seq 1361:1452, ack 274, win 32120, length 91
..tw.\..Ru....E...4.../.>..R...........J:.>...P.}x....HTTP/1.1 307 Temporary Redirect
Location: http://forbidden.yota.ru/
Connection: close
По http вообще коннектится:
$ curl -i --ignore-content-length http://195.82.146.214
HTTP/1.1 404 Not Found
Server: nginx
Date: Fri, 23 Dec 2016 10:34:51 GMT
Content-Type: text/plain
Content-Length: 49
Connection: keep-alive
try using rutracker.org instead of 195.82.146.214

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

75. Сообщение от freehck (ok), 26-Дек-16, 15:44 +/–

А я тут, кстати, обнаружил, что некоторые облака (которые я не буду называть здесь), не блокируют траффик к запрещённым роскомнадзором сайтам. Посмотрите по своим виртуалкам, может отыщете. :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #76

76. Сообщение от marios (ok), 27-Дек-16, 02:26 +/–

VPS-провайдеры не блокируют.
Да и не обязаны.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75 Ответы: #77

77. Сообщение от freehck (ok), 27-Дек-16, 06:38 +/–

> VPS-провайдеры не блокируют.
> Да и не обязаны.
Что, серьёзно? То есть это не мне повезло, а через любого VPS-провайдера можно как через проксю ходить?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #79

79. Сообщение от Константин (??), 29-Дек-16, 20:59 +/–

Ну понял ты, а писать всем об этом зачем?
Не порть бизнес: https://antizapret.prostovpn.org и подобные.....

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

80. Сообщение от anonkot (?), 02-Янв-17, 03:12 +/–

Не подскажете- у меня никаких RST нет, и курлу и вгету и всем браузерам приходит SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol
но каким-то образом links2 открывает https заблокированные сайты. Что это такое?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #82

81. Сообщение от pavlinux (ok), 04-Янв-17, 19:00 +/–

>> Отправляют пользователю RST только какие-то совсем доморощенные блокировщики.
> Например, Ростелеком, самый крупный оператор связи РФ, шлёт RST только клиенту.
Откуда инфа, что он не шлёт ещё куда-то?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #88

82. Сообщение от Аноним (-), 09-Янв-17, 19:45 +/–

Инспектируйте трафик от links2 и от curl с помощью tcpdump и/или wireshark и сравнивайте получившееся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

84. Сообщение от 858d214ba09f174963f9d4f132585a83 (?), 10-Янв-17, 21:07 +/–

А может кто подскажет нормальный VPN где можно взять?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #86, #90, #92

85. Сообщение от Укпшд (?), 14-Янв-17, 18:08 +/–

Часть российских провов много лет перехватывает все запросы на 53/udp и 53/tcp и заворачивают на свои ДНСы.
Правильный выход — установка dnscrypt.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

86. Сообщение от Аноним (-), 15-Янв-17, 20:22 +/–

> А может кто подскажет нормальный VPN где можно взять?
Зависит от критериев нормальности.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

87. Сообщение от Аноним (-), 15-Янв-17, 20:29 +/–

> Просто не поможет. Либо пров перехватывает обращение к внещним серверам, либо у
> него где то локлаьно ip тех dns прописаны.
Поздравляю с открытием, 8.8.x.x от гугла - это anycast, он не уникальный. И пров может подсунуть свой 8.8.х.х запросто.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

88. Сообщение от Анином (?), 25-Янв-17, 08:52 +1 +/–

С какой целью интересуетесь?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

89. Сообщение от SpaceRaven (ok), 28-Янв-17, 06:22 +/–

Для домолинка калужского не работает, на запрос к xhamster отдает HTTP/1.1 451 Unavailable For Legal Reasons

Ответить | Правка | Наверх | Cообщить модератору

90. Сообщение от Вареник (?), 31-Янв-17, 08:02 +/–

Поднять через виртуалку в нормальной стране. Копейки стоит.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

92. Сообщение от Аноним (-), 08-Фев-17, 15:50 +/–

Амазон вроде на год vps на халяву дает

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #84

94. Сообщение от гг (?), 23-Фев-17, 19:45 –1 +/–

Самый простой, лучший и гарантированно рабочий способ обойти блокировки роскоммизуленой — не жить там, где они есть.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #95

95. Сообщение от Himik (ok), 26-Фев-17, 02:10 +/–

Там где нет РОСнадзора, там есть XXXнадзор, только ещё грознее, злее и хитрее.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #94

96. Сообщение от L29Ah (?), 15-Мрт-17, 04:50 +/–

Мегафон не халтурит похоже.

Ответить | Правка | Наверх | Cообщить модератору

98. Сообщение от Аноним (-), 09-Май-17, 13:39 +/–

Спасибо, мил человек! Всё работает, только ещё пришлось dnscrypt-proxy поставить, ибо мой хаббардисткий провайдер ещё и DNS подменяет. Твари несчастные.

Ответить | Правка | Наверх | Cообщить модератору

100. Сообщение от Аноним (-), 09-Июн-17, 10:20 +/–

Зачем хомяков-провайдеров нагружают?
этож на магистральщиках решается всё.
А их в 100500 раз меньше чем хомяков.

Ответить | Правка | Наверх | Cообщить модератору

101. Сообщение от 5percent (?), 22-Июн-17, 15:27 +/–

старая опера не знает про name server indication, поэтому https сайты работаю, а вот хром и файрфокс доблестно шлют незашифрованным имя сайта, поэтому провайдер все это спокойно блочит.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #106

102. Сообщение от svsd_val (ok), 27-Июн-17, 05:41 +/–

Скоро придёт запрос к Опеннету на удаление данной страницы :D

Ответить | Правка | Наверх | Cообщить модератору

103. Сообщение от Neandertalets (ok), 22-Июл-17, 11:10 +/–

O_o  А чем ВэбАрхим им помешал?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

104. Сообщение от Аноним всея Интернета (?), 16-Авг-17, 01:28 +/–

только на роутере нужно это правило в FORWARD добавлять, чтобы работало не для собственно роутера, а для его клиентов.
ЗЫ. К правильным роутерам есть правильные модные прошивки, в которых 101% есть модуль string.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

105. Сообщение от Аноним всея Интернета (?), 16-Авг-17, 01:35 +/–

>[оверквотинг удален]
> в виндовая утилитка Tcpview.exe даже и не показывает, что браузер создал
> сессию тсп новую. Как блин тогда пакет приходит? Я уже думал
> в микротике ни так делаю, добавил вместо локейшена по другому элемента
> запроса лочить - всё отлично! Т.е. как будто браузер на злой
> сайт через проксю кидает (в заголовке X-...чегототам кстати указан squid), но
> ни каких пакетов на порт 3128 не пролетает. А если принудительно
> открыть сайт-заглушку провайдера, то всё отлично пролетает гет и ваершарк видит
> и микротик.
> Как провайдер так сделал, что при переходе на злой сайт браузер видит
> локейшен, но пакета нет ... хитрый прозрачный прокси? яваскриптсокет некий создаётся(было
Всё просто - у тебя браузер кэширует 301 редирект - почисти кэш.
В firefox Ctrl+Shift+Del и выбрать период до того, как ты первый раз зашел туда и получил 301 отлуп от DLP провайдера.

> подозрительно, что pid 0 svchost создал порт)? новая технология сетевого обмена
> вместо tcp/ip уже внедрена?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

106. Сообщение от kadafy (?), 14-Янв-18, 00:54 +/–

Старая, это какая конкретно версия?
Спасибо.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101

107. Сообщение от пфф (?), 26-Янв-18, 08:04 +/–

а для винда подходит?

Ответить | Правка | Наверх | Cообщить модератору

108. Сообщение от Anonim (??), 09-Фев-19, 17:22 +/–

Слушайте а в системе андроид такая хрень
Пройдет . У моего оператора такая хрень так вот чем бы ломануть ?

Ответить | Правка | Наверх | Cообщить модератору

109. Сообщение от vo1 (?), 16-Дек-19, 22:50 +/–

а как на прошивке падаван подобное реализовать? провайдер ростелеком

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #110

110. Сообщение от XAuBAH (?), 18-Июн-20, 00:10 +/–

тоже Рт, вот что отловил
https://i.imgur.com/z1sIttm.png

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #109

111. Сообщение от avsprv (ok), 17-Апр-21, 15:19 +/–

с МГТС не прокатило...

Ответить | Правка | Наверх | Cообщить модератору

112. Сообщение от zzr (??), 22-Ноя-21, 20:39 +/–

с рт дос их пор прокатывает я ни магу

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #113

113. Сообщение от gone (?), 29-Дек-21, 20:38 +/–

not anymore

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #112

114. Сообщение от фвыыфваыв (?), 07-Янв-22, 00:23 +/–

Всё. Статья неактуальная. РТ теперь повзрослому блокирует.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #115, #116, #117

115. Сообщение от Подтверждаю (?), 20-Янв-22, 15:12 +/–

Теперь все, халява кончилась.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

116. Сообщение от etomoynick (?), 15-Фев-22, 14:03 +/–

А есть инфа, как именно? гудбайдипиай справляется, а микротик нет - все пакеты стали rst

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

117. Сообщение от Любитель РТК (?), 02-Янв-23, 17:23 +/–

Ктор-нибудь нашел новый шаблон для обхода блокировок? Что-то я  RST  пакеты отбрасывать пытаюсь, но не очень помогает =(

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

118. Сообщение от Jenkins (?), 06-Авг-24, 11:08 +/–

А кто-нибудь может всё это добро адаптировать к openwrt и его nft?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Past (?), 09-Дек-16, 14:24	+2 +/–
Теперь забанят опеннет
Ответить \| Правка \| Наверх \| Cообщить модератору

2. Сообщение от Алексей (??), 09-Дек-16, 14:41	+/–
уже исправили, или уже было правильно сделано))
Ответить \| Правка \| Наверх \| Cообщить модератору

3. Сообщение от Я (??), 09-Дек-16, 16:12	+/–
ха и вправду помогло, зашел на парочку первых попавшихся заблокированных из реестра спокойно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17

4. Сообщение от th3m3 (ok), 09-Дек-16, 17:02	+/–
Когда делаю: iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROP Выдаёт: iptables -I INPUT --sport 443 -p tcp --tcp-flags RST RST -j DROP iptables v1.6.0: unknown option "--sport" Try `iptables -h' or 'iptables --help' for more information.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5, #6

5. Сообщение от Аноним (-), 09-Дек-16, 17:05	+1 +/–
Запускай без --sport: iptables -I INPUT -p tcp --tcp-flags RST RST -j DROP
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

6. Сообщение от Andrey Mitrofanov (?), 09-Дек-16, 17:06	+/–
> iptables v1.6.0: unknown option "--sport" lmddgtfy! http://serverfault.com/a/563036
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #7

7. Сообщение от th3m3 (ok), 09-Дек-16, 17:11	+2 +/–
Спасибо! Блин, всё работает! На рутрекер зашёл без проблем!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

8. Сообщение от Аноним (-), 10-Дек-16, 00:46	+/–
А под Windows что и как прописывать?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #10, #34

9. Сообщение от Fixer (?), 10-Дек-16, 06:57	+1 +/–
хомячки должны страдать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8

10. Сообщение от Fixer (?), 10-Дек-16, 07:04	+/–
> А под Windows что и как прописывать? а если серьезно то самый простой вариант купить железку с linux аля mikrotik/RouterOS и запульнуть rules там. Ну или поставить linux с виртуалкой винды
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #8 Ответы: #11, #23, #58

11. Сообщение от Аноним (-), 10-Дек-16, 09:04	+/–
Почти у каждого виндового пользователя дома стоит беспроводной рутер, точка wifi-доступа или DSL-модем с Linux. Можно на домашнем рутере правило прописать, правда через web-интерфейс дополнительные опции iptables скорее всего не даст указать, придётся через telnet/ssh прописывать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #22, #104

12. Сообщение от Сергей (??), 10-Дек-16, 09:58	+1 +/–
Я так понимаю с HTTPs это не прокатит...
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15

13. Сообщение от Владимир Владимирович (?), 10-Дек-16, 10:37	+/–
iptables -I INPUT -p tcp --sport 443 --tcp-flags RST RST -j DROP Но ведь в таком случае мы получим кучу висячих HTTPS соединений на клиентской машине, разве нет?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #14

14. Сообщение от Аноним (-), 10-Дек-16, 10:47	+/–
> Но ведь в таком случае мы получим кучу висячих HTTPS соединений на клиентской машине, разве нет? нет, для нормального завершения соединения используется FIN, а флаг RST только для обрыва. На практике он очень редко применяется, можете запустить в обычных условиях tcpdump и последить за появлением RST.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13

15. Сообщение от Аноним (-), 10-Дек-16, 10:49	+/–
> Я так понимаю с HTTPs это не прокатит... Правило с убиванием пакетов RST прокатывает. Другое дело, что не везде, так как некоторые продолжают список IP для блокировки HTTPS загружать в межсетевой экран.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

16. Сообщение от Аноним (-), 10-Дек-16, 16:43	+/–
Блин, реально работает. Дроп RST -- мощно.
Ответить \| Правка \| Наверх \| Cообщить модератору

17. Сообщение от Zenitur (ok), 10-Дек-16, 18:08	+/–
У меня Wayback Machine снова открылся. Раньше через Тор открывал. Хорошая команда, слушай.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #103

18. Сообщение от uchiya (ok), 10-Дек-16, 21:27	+/–
Первое правило для http не пашет
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #19

19. Сообщение от Аноним (-), 10-Дек-16, 23:03	+/–
А вы точно строковую маску правильно для своего провайдера подобрали? Какое именно в iptables правило добавили и что выдаёт curl -i --ignore-content-length http://запрещённый_сайт ?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #35

20. Сообщение от Аноним (-), 11-Дек-16, 11:28	+/–
Добавил для Mikrotik роутера правило /ip firewall filter add chain=input protocol=tcp src-port=80 content="Location: http://blocked.kvidex.ru/" comment="Drop block" action=drop Не работает. Может кто-нибудь подсказать в чем проблема?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #21

21. Сообщение от Andrew (??), 11-Дек-16, 18:46	+/–
chain=input "ловит" трафик, который адресован самому роутеру. Для транзитного трафика нужно chain=forward.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20 Ответы: #24, #26

22. Сообщение от Аноним (-), 11-Дек-16, 20:16	–1 +/–
> через telnet/ssh прописывать. Подробнее бы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #11 Ответы: #31

23. Сообщение от Аноним (-), 12-Дек-16, 01:01	+/–
> а если серьезно то самый простой вариант купить железку с linux > аля mikrotik/RouterOS и запульнуть rules там. Ну или поставить linux с > виртуалкой винды Лучше что-нибудь с openwrt, там нормальный линукс без кучи ограничений и с множеством дополнительных пакетов. Можно еще и прокси блокирующий рекламу поставить, например.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

24. Сообщение от _KUL (ok), 12-Дек-16, 09:08	+/–
Имею тоже микротик и не могу понять как провайдер так хитро придумал. 1. Открываю фаерфокс, жму ф12, смотрю в консоли раздел сеть. 2. Ввожу адрес злого сайта, моментально получаю переход на страничку провайдера с ипом о блокировке. В консоли браузера вижу гет хопы, сначала злой сайт и ответ с локейшеном на страничку блокировки, а дальше хоп странички блокировки. 3. Делаю правило, - не ловит! Мониторил на микротике, пакеты в сторону злого сайта не идут! ваершарк этот первый гет не видит, как будто его вообще не было! А в виндовая утилитка Tcpview.exe даже и не показывает, что браузер создал сессию тсп новую. Как блин тогда пакет приходит? Я уже думал в микротике ни так делаю, добавил вместо локейшена по другому элемента запроса лочить - всё отлично! Т.е. как будто браузер на злой сайт через проксю кидает (в заголовке X-...чегототам кстати указан squid), но ни каких пакетов на порт 3128 не пролетает. А если принудительно открыть сайт-заглушку провайдера, то всё отлично пролетает гет и ваершарк видит и микротик. Как провайдер так сделал, что при переходе на злой сайт браузер видит локейшен, но пакета нет ... хитрый прозрачный прокси? яваскриптсокет некий создаётся(было подозрительно, что pid 0 svchost создал порт)? новая технология сетевого обмена вместо tcp/ip уже внедрена?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #25, #105

25. Сообщение от _KUL (ok), 12-Дек-16, 09:09	+/–
прров ктт (читать наоборот)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #29

26. Сообщение от Аноним (-), 12-Дек-16, 10:56	+/–
Спасибо! Помогло
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21

27. Сообщение от Саня (??), 12-Дек-16, 12:26	–1 +/–
В чем юмор первый команды, с фильтрацией по Location? Оно же отбрасывает пакет с HTTP-заголовком целиком, то есть сайт как не открывался, так и не открывается.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #28, #30

28. Сообщение от Andrey Mitrofanov (?), 12-Дек-16, 13:40	–1 +/–
> В чем юмор первый команды, с > Оно же отбрасывает пакет >как не открывался, так и не открывается. Юмор в том, что Вы не понимаете. Смотрите -- над Вами смеются.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27

29. Сообщение от _KUL (ok), 12-Дек-16, 14:13	+/–
Порыбачил на линуксе, поймал злой пакет ... root@debian:~# curl -i --ignore-content-length http://rutracker.org HTTP/1.1 301 Moved Permanently Server: squid/3.4.8 Date: Mon, 12 Dec 2016 11:12:49 GMT Content-Length: 0 Location: http://62.33.207.196/ X-Cache: MISS from blacklist.ttk.ru X-Cache-Lookup: MISS from blacklist.ttk.ru:3128 Via: 1.1 blacklist.ttk.ru (squid) Connection: keep-alive Самое обидное, что мой провайдер реально блочит трафик, и после правила iptables счётчик блокированных пакетов растёт и ничего больше не приходит после подменённого пакета ... Заглушка видать просто для информативности юзеру прикрутили, эх ;'(
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25

30. Сообщение от Freddy Cuper (?), 12-Дек-16, 16:21	+/–
> В чем юмор первый команды, с фильтрацией по Location? > Оно же отбрасывает пакет с HTTP-заголовком целиком, то есть сайт как не > открывался, так и не открывается. Смысл в том, что приходят два пакета с заголовками - первый, который отправил провайдер, а второй ответ реального сервера. Провайдерский, используемый для блокировки, приходит первым, так как сеть провайдера рядом. Следом приходит реальный ответ, но подставной ответ провайдера уже обработан и реальный ответ отбрасывается. Убив подставной пакет с заголовком от провайдера реальный ответ от сервера обрабатывается как без блокировки.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #46