На 100 строк хейта в адрес Яндекса и одно скромное упоминание Google.
Гугл официально ушел из России и не особо-то сотрудничает с отечественными органами, а Яндекс им полностью подконтролен и обязан это делать по закону.
Иностранные органы до среднестатистического россиянина просто так не дотянутся, а местные имеют к нему полный физический доступ, монополию на насилие, и огромное количество поводов взять за задницу (от конкретных до простого «случайно под руку попался»).
Поэтому слежка со стороны Яндекса для обычного человека на много порядков опаснее чем слежка со стороны Гугла, и «это отраслевой стандарт и Гугл тоже так делает» оправданием не является.
У некоторых российских хостеров ещё веселее получается - ТСПУ в ДЦ (или у магистралов) ошибочно фильтруют трафик не только «туда», но и «оттуда», в результате чего сдохли сайты на этих хостингах за Cloudflare при доступе «оттуда».
пробросить /.well-known/acme-challenge/ (на этом уровне нет путей, а сертификаты выпускаются по HTTP-01)
Так acme-клиент делающий HTTP-01 валидацию стоит на конечном сервере (где и сам сайт), все запросы на 80 и 443 порт прокси перекидываются на 80 и 443 порт конечного сервера соответственно - никаких проблем.
можно крутить версии TLS и HTTP/2
так все то же самое можно крутить и на конечно веб-сервере. отключите там TLS 1.3, получите TLS 1.2 для всех клиентов и между серверами.
Ресурсов nginx ест копейки
Постоянная расшифровка и повторная шифровка TLS, анализ HTTP заголовков и гонка данных из юзерспейса в ядро и обратно - весьма тяжеловесно, на несколько порядков больше чем простой netfilter, перекладывающийся пакеты из интерфейса A в интерфейс B не вылезая из ядра в юзерспейс.
Если цель просто получить другой IP, то не совсем понятна необходимость Nginx на промежуточном прокси - там достаточно будет HAProxy с проксированием на L3 (TCP), или даже вообще никакого софта не надо, хватит просто пары правил iptables - и настраивается проще, и ресурсов надо гораздо меньше.
А через STARTTLS трафик явно опознается как почтовый.
Как только этот трюк начнут использовать больше чем полтора анонимуса, ТСПУ быстро научится скипать первую фазу и анализировать последующий TLS хендшейк как обычно
Сейчас почти все современные протоколы сначала в первую очередь устанавливают TLS-сессию, а уже потом договариваются о том что им вообще надо - STARTTLS выходит из моды.
Но если сильно хочется что-то такое, то в свежих версиях XRay есть FinalMask, как раз чтобы имитировать обмен между клиентом и сервером фейковыми вопросами-ответами (правда, не уверен, если используется TLS, то наверное и обмен фейками тоже будет идти уже внутри TLS, надо проверить)
Все происходящее вокруг Телеграма действительно вписывается хорошо в такую схему:
— "политический блок" понимает, как важно раскрутить под выборы гайки, сбросить недовольство: иначе очень сложно будет делать нужный результат для Единой России,
— бизнес и зет-сообщество (внезапный альянс) требуют разблокировать Телеграм, потому что после выпиливания Макса из сторов ни одного стабильно работающего мессенджера не осталось, и это очень плохо для коммуникации и любой деловой активности,
— ФСБшники категорически против, потому что (1) считают правильным все запрещать, (2) нельзя включать заднюю, (3) среди них есть несколько загашенных кончелыг, которые реально верят в то, что Телеграм — это проект нато-бандеровцев по информационной войне против Россиюшки,
— политический блок ходит к Путину и убеждает разблокировать, отсюда же вчерашний коммент Пескова на тему "переговоры ведутся",
— силовой блок это видит, ему это не нравится и он делает резкий мув на упреждение: если Дуров, официально, террорист — то какие с ним могут быть переговоры; если Телеграм — инструмент терроризма, то какая может быть разблокировка?
Так те кто выступают за демократию и свободу слова, получают демократию и свободу слова, а кто выступает за цензуру и репрессии получают цензуру и репрессии. Вроде все честно, что вам не нравится то?
Так у большинства описанных в статье решений как раз идея в том, что для конкурентного пользователя и его провайдера трафик будет внутренним.
Но я скорее ожидаю что вместо технических мер будут административные - реальные штрафы и уголовные сроки за попытки обхода блокировок. Ждать осталось недолго.
…Подключение стоило 1200 рублей, скорость доступа 10 мегабит в секунду, а оплачивать доступ полагалось за трафик, а именно, 1 мегабайт скачанных данных стоил 1 рубль 80 копеек. Иными словами, «немножко посерфить», отключив в браузере картинки еще можно было, но вот если вы захотели скачать 1 альбом в mp3 среднего качества, то готовьтесь выложить 180 рублей или даже больше. Если решили скачать ISO-образы дистрибутива RedHat Linux 9, то это стоило бы вам около трех тысяч рублей, и так далее.
Вместе с тем, существовали так же «внутренние ресурсы», располагавшиеся внутри периметра сети провайдера, трафик с которых тарифицировался в 36 раз дешевле, по 5 копеек за мегабайт. А еще у этого провайдера был «бесплатный хостинг», предлагавший всем желающим 30 мегабайт места для того, чтобы разместить какую-нибудь хомпагу сайт-визитку. И админы провайдера совершили страшную ошибку: они не закрыли FTP-доступ снаружи. И этим воспользовались некоторые хитрозадые пользователи. Суть проста:
Регистрируете аккаунт на «бесплатном хостинге», можно даже сразу несколько
Покупаете shared-хостинг рублей так за 100 в месяц у какого-нибудь «внешнего хостера»
Заливаете на п.2 специальный php-скрипт
???
PROFIT!
Работало все это до неприличия просто. PHP-скрипту скармливался URL нужного файла, тот его скачивал куда-нибудь в /tmp шаред-хостинга и сразу же загружал по FTP на провайдерский «бесплатный хостинг», откуда файл переливался к юзеру уже в пределах внутренней сети с соответствующей «внутренней» тарификацией.
Со временем появились более навороченные версии скриптов, которые умели на лету делить большие файлы на части и заливать их одновременно на несколько FTP-аккаунтов, возможность скармливать URL’ы не поодиночке, а сразу списком, и т.д. Сколько гигабайт музыки, софта и прочего контента так было скачано остается только гадать, но дырку админы почему-то не закрывали очень долго.
У FT с S3 и у TITS в хороших условиях и в зависимости от сервера пинг около секунды-полторы, но при это скорость на удивление неплохая, мегабит 10 можно выжать.
Очевидно же, что это штуки не для повседневного использования, а на экстренный случай типа усиленной чебурнетизации, когда уже не до пинга, а чтобы хоть какой трафик хоть как-то ходил.
это вторая часть статьи, там много дополнительных условий
Там эти условия такие, что натянуть некоторые их можно на что угодно при желании. И большое количество судебных решений по этой статье со сроками больше 5 лет (то есть как раз подпадающих под второй параграф) это подтверждают.
Да и вообще-то состав в этой статье — "заведомо ложная информация", а не про слухи и подобное.
А суды «заведомо ложной информацией» признают то, что отрицают и пытаются скрыть власти и ВС РФ. Про «слухи» вообще речи нет и не было, не знаю откуда вы это взяли.
Моя позиция простая — человек наврал. В чём конкретно — я указал.
Очень хорошо «указали», кричите «там этого нет», хотя если тупо открыть текст статьи и проскроллить чуть ниже первого параграфа - оно там есть прямым текстом, и не заметить этого вы там не могли. То есть наврали вы. Прямая иллюстрация народной мудрости «Вор громче всех кричит ‘Держи вора!’»
Это именно та самая «малая ложь», против которой якобы вы выступаете не словах, а по факту которую сами же и распространяет своими руками - уж не знаю, платят вам за это или нет.
Что-то делаете не так, у меня с облаком мейлру вполне сносно работало в тестах.
ЯндексДиск - да, неюзабельно, как и их почтовик
40 лет назад вообще почти весь код был похож на код сельских программистов
Вы в курсе что такое строго запрещено правилами Хабра?
Никогда такого не было, и вот опять:
Localhost-атака: как Meta* и Яндекс следят за пользователями Android через localhost
Гугл официально ушел из России и не особо-то сотрудничает с отечественными органами, а Яндекс им полностью подконтролен и обязан это делать по закону.
Иностранные органы до среднестатистического россиянина просто так не дотянутся, а местные имеют к нему полный физический доступ, монополию на насилие, и огромное количество поводов взять за задницу (от конкретных до простого «случайно под руку попался»).
Поэтому слежка со стороны Яндекса для обычного человека на много порядков опаснее чем слежка со стороны Гугла, и «это отраслевой стандарт и Гугл тоже так делает» оправданием не является.
Это скорее кривые руки.
У некоторых российских хостеров ещё веселее получается - ТСПУ в ДЦ (или у магистралов) ошибочно фильтруют трафик не только «туда», но и «оттуда», в результате чего сдохли сайты на этих хостингах за Cloudflare при доступе «оттуда».
Так acme-клиент делающий HTTP-01 валидацию стоит на конечном сервере (где и сам сайт), все запросы на 80 и 443 порт прокси перекидываются на 80 и 443 порт конечного сервера соответственно - никаких проблем.
так все то же самое можно крутить и на конечно веб-сервере. отключите там TLS 1.3, получите TLS 1.2 для всех клиентов и между серверами.
Постоянная расшифровка и повторная шифровка TLS, анализ HTTP заголовков и гонка данных из юзерспейса в ядро и обратно - весьма тяжеловесно, на несколько порядков больше чем простой netfilter, перекладывающийся пакеты из интерфейса A в интерфейс B не вылезая из ядра в юзерспейс.
Если цель просто получить другой IP, то не совсем понятна необходимость Nginx на промежуточном прокси - там достаточно будет HAProxy с проксированием на L3 (TCP), или даже вообще никакого софта не надо, хватит просто пары правил iptables - и настраивается проще, и ресурсов надо гораздо меньше.
Потому что внутренний/локальный хостинг не умел в скрипты, только статические файлы и SSI.
Как только этот трюк начнут использовать больше чем полтора анонимуса, ТСПУ быстро научится скипать первую фазу и анализировать последующий TLS хендшейк как обычно
T.I.T.S.
(он бы еще B.O.O.B.S. его назвал, ага)
Сейчас почти все современные протоколы сначала в первую очередь устанавливают TLS-сессию, а уже потом договариваются о том что им вообще надо - STARTTLS выходит из моды.
Но если сильно хочется что-то такое, то в свежих версиях XRay есть FinalMask, как раз чтобы имитировать обмен между клиентом и сервером фейковыми вопросами-ответами (правда, не уверен, если используется TLS, то наверное и обмен фейками тоже будет идти уже внутри TLS, надо проверить)
За администрирование VPN/прокси для обхода блокировок тоже уже есть (КоАП РФ Статья 13.52, пункты 2 и 3), осталось ввести наказание для пользователей.
Есть вот такое весьма интересное объяснение:
Так те кто выступают за демократию и свободу слова, получают демократию и свободу слова, а кто выступает за цензуру и репрессии получают цензуру и репрессии. Вроде все честно, что вам не нравится то?
Так у большинства описанных в статье решений как раз идея в том, что для конкурентного пользователя и его провайдера трафик будет внутренним.
Но я скорее ожидаю что вместо технических мер будут административные - реальные штрафы и уголовные сроки за попытки обхода блокировок. Ждать осталось недолго.
История из начала 2000-х
У FT с S3 и у TITS в хороших условиях и в зависимости от сервера пинг около секунды-полторы, но при это скорость на удивление неплохая, мегабит 10 можно выжать.
Очевидно же, что это штуки не для повседневного использования, а на экстренный случай типа усиленной чебурнетизации, когда уже не до пинга, а чтобы хоть какой трафик хоть как-то ходил.
Там эти условия такие, что натянуть некоторые их можно на что угодно при желании. И большое количество судебных решений по этой статье со сроками больше 5 лет (то есть как раз подпадающих под второй параграф) это подтверждают.
А суды «заведомо ложной информацией» признают то, что отрицают и пытаются скрыть власти и ВС РФ. Про «слухи» вообще речи нет и не было, не знаю откуда вы это взяли.
Очень хорошо «указали», кричите «там этого нет», хотя если тупо открыть текст статьи и проскроллить чуть ниже первого параграфа - оно там есть прямым текстом, и не заметить этого вы там не могли. То есть наврали вы. Прямая иллюстрация народной мудрости «Вор громче всех кричит ‘Держи вора!’»
Это именно та самая «малая ложь», против которой якобы вы выступаете не словах, а по факту которую сами же и распространяет своими руками - уж не знаю, платят вам за это или нет.