Хабр Курсы для админов
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Администрирование доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 130
В заголовке написано "как избежать". И как?
Найти запрещённые сервисы через censys и удалить их
Знать бы что искать...
В статье фактически разобран лишь один пример.
2 примера более чем достаточно, там есть причины большинства вчерашних блокировок (чужой https сертификат и порт 2096). может быть и другая запрещёнка, мне кажется слишком очевидная, упоминать на всякий случай не буду, но слова известные, гуглятся, легко понять если что-то относится к обходу ограничений от ркн
Есть статистика по блокировкам? Как показывает опыт моего знакомого владельца VPN-сервиса - открытый 2096 (даже на российских ASN, которые преимущественно и сканируются СКИПА'ой) не привел к бану ни одного сервера за год с лишним работы.
Статистики нет. Но лично у меня был бан на впске где извне палился только 2096. Там был ещё вг/авг2 на порте 40ххх, но я не знаю способа определить его пробингом, поэтому грешил именно на 2096 (2 недели назад убрал его и оставил только авг с идентичным конфигом на другом ip, буду смотреть). А блоки ip с сертификатами от Гугла встречаются очень часто, хотя далеко не все заблокированы до сих пор. могу накидать блок ip если надо
был ещё вг/авг2
Мне вообще кажется, что пробинг никакого влияния на блокировки не имеет. Скорее всего есть какие-то триггеры на ТСПУ, которые логгируют подозрительный трафик и в последствии уже в ручном режиме IP-адреса блокируются.
Вручную заблокировать ip адрес сайта винрара это мощно (больше месяца был недоступен, это несмотря на то что домен винрара в белом списке)
А ещё видел блок некоторых айпи ластпасс, индийского банка, игрового сервера osu, gensokyo radio. На них не шла трассировка, а соседние айпи работали.
Если речь идет про 51.195.68.163, в который резолвится win-rar.com, то этот адрес принадлежит к AS16276 / OVH SAS, так что его не заблокировали, а месяц не могли добавить в исключения.
Нет. Все ip от ovh находятся под 16кб блокировкой которая не проявляется на трассировке или пинге. Ip адрес сайта винрара тоже под 16кб, однако сайт работает из-за наличия SNI win-rar.ru в белом списке тспу. но долгое время айпи адрес был точечно заблокирован по неизвестной причине, пинг не шел и трассировка тоже, 0 байт входящего трафика, браузеры даже не доходили до момента отправки пакета со SNI. Соседние айпи адреса OVH соответствовали 16кб блокировке, а айпи винрара - точечной полной бллкировке
Про 16кб у меня самая первая статья
Искать нужно не то что лежит на сервере, а то что сервер отдаёт. Все порты, а так же что за этими портами, для среднего стека: перевод всех портов inbound на локальные, с разводкой по sni, так же сниффинг не тот который не сможет отдать публичный сервер, если что для рф сервера пф сниффинг, для польского, польский, есть проверка в самой панели 3x-ui при выборе dest, если сервер отдаёт ответ от того что явно не должен это работа reality, для сканеров.
Порт 0.0.0.0:443 только для nginx, на нём делаете осмысленный сайт заглушку, не с одной страницей и с валидным сертификатом ssl (да нужен домен, есть дешёвый .site), сайт должен отдавать TLS 1.3 и http/2, не должен TLS 1.0/1.1, версия nginx либо скрыта полностью (лишний отпечаток для сканеров), либо нейтральное значение (web например)
Для доступа к панели и ssh на не локальных портах (рандом например) делаете white list из вашего пула айпи адресов, можете ещё закрыть пингование с не white list ip.
Если задача звучит "убрать порт\сервис из Censys и чтоб он не находился общедоступными сканерами" - удалять сервис на VPS - не единственный путь. Можно применить технологию port knocking. Я проверял результат как раз на Censys\Shodan: информация о сервисе исчезала. Реализация вариативна. Достаточно подробно я описывал использование технологии в статье Практические варианты использования port knocking. Но, самый простой способ: настроить firewall так, чтоб на порт сервиса запрос прилетал не сразу, а при повторном обращении. Клиент точно знает, что сервис должен быть рабочим. Он будет стучаться несколько раз (за короткий промежуток времени). Это будет тем секретным кодом, что пропустит легитимного клиента - "за настойчивость". Большинство сканеров так не работают: для массовых сканирований они экономят ресурсы и отправляют лишь один запрос.
Для Linux я делал open source скрипт с реализацией идеи. Главный момент: определить опытным путём количество повторений, которое будет считаться легитимным так, чтоб это не особо сказалось на качестве первичного подключения. После первого успешного подключения IP-клиента включается в белый список (на время, в течение которого повторные подключения уже не будут "тормозить", как первое подключение т.к. клиент проверен по IP и заново его проверять уже не нужно).
Самоцензура ;) лучшее средство от цензуры. И что самое главное — работает же!!!
Вы говорили: невозможно, а вышло, что совсем не сложно
(С) Ослепительное средневековье
Введите свой пароль и мы проверим, не утек ли он.
Да, гарантия точности 100% (после ввода он точно утëк :)
у censys ничего общего с россией, они даже на письма с яндекса не отвечают. если вы введёте свой ip адрес на сайте то получите мгновенный результат потому что он уже был просканирован тысячи раз. Ничего не мешает сделать запрос с вкладки инкогнито, с того же адреса который хотите посмотреть. ещё можете посмотреть мои прошлые статьи для уверенности
Это очень спорное заявление...
Они сами пишут про 219 миллионов просканированных хостов, считать лень, но это что-то в районе 1/20, за какой период не понятно.. актуальность данных под огромным вопросом
Аргумент что кто-то не отвечает на письма Яндекса это вообще из серии вода мокрая потому что свет яркий
я очень давно пользуюсь сервисом и в 90% случаев нужный адрес уже был просканирован и с длинной историей. 100% актуальность и не нужна, ркн сканят в разы медленнее и меньше
добавил в статью команду nmap для скана ip через ваш собственный пк
РКН сканируют постоянно, с диапазона 212.192.156.0/22 (AS61280 FGUP “GRCHC” CMU_GRCHC)
Посмотрите репорты на abusedb:
Статистика по /24: https://www.abuseipdb.com/check-block/212.192.158.0/24
Mozilla/5.0 (compatible; CyberOKInspect/1.0; +https://www.cyberok.ru/policy.html)
Они постоянно ходят по серверам. По крайней мере у меня ежедневно в логах мелькают (fail2ban репорты валит). В прошлом году поднял новый сервер - появились на следующий день.
Ну, заныкал подписки и панель на 3xui за общий nginx. Теперь наружу лишние порты не смотрят. Хотя бы такая польза от статьи...
А как это сделать, скажите, пожалуйста? Ну или как проверить, нужно ли мне это делать.
В статье написано как проверить
ну насчёт "нужно" мнения расходятся. А так идея простая.
Допустим, у вас на одной машине установлена панель 3X-UI, а в качестве веб-сервера (маскировочного или простого) nginx. Тогда можете дописать в конфиг nginx что-то в духе
location /желаемый-путь-панели-3xui/ {
proxy_pass https://127.0.0.1:2053; # ну или какой у вас адрес и порт слушает панель 3X-UI
# без этого заголовка панель не будет знать, под каким адресом она видна снаружи.
# также это можно решить через настройки Hosts панели, но тогда придётся каждый Inbound привязывать руками к нужному хосту.
proxy_set_header X-Forwarded-Host $host;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}Затем в самом 3X-UI настраиваете слушать адрес 127.0.0.1:2053, и указываете корневой адрес панели такой же, как указано в location. Аналогично с подписками, только для них проще - в настройках можно вообще указать полный URL, по которому они должны начинаться:
location /желаемый-путь-к-подпискам/ {
# / в конце значим - тогда префикс будет удален из адреса.
# нужно настроить 3XUI, чтобы путь к URL подписок был такой же, как location выше.
proxy_pass https://127.0.0.1:2096/желаемый-путь-к-подпискам/; # адрес, порт и путь к серверу подписок 3X-UI
# без этого заголовка панель не будет знать, под каким адресом она видна снаружи.
# также это можно решить через настройки Hosts панели, но тогда придётся каждый Inbound привязывать руками к нужному хосту.
proxy_set_header X-Forwarded-Host $host;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
Если что, через докер это ещё проще можно настроить.
А как часто censys.io обновляет информацию? И есть ли возможность как-то инициировать обновление/сканирование чтобы увидеть изменения после чистки своего сервера от запрещенки?
Эх поздняк моему серваку метаться теперь
Неуспешный traceroute не всегда связан с блокировкой. Иногда он просто из-за файерволла ;)
Если сервер попал под второй случай, то убрать порты за nginx поможет и сервак начнет пинговаться?
придётся долго ждать, я лично уже больше 2х недель жду разблокировки, кто-то около месяца
блокировки очень медленные и запоздалые (далеко не все серверы из 2-го примера в блоке), разблокировки полагаю тоже, но они точно есть
В таком случае кажется логичным временно переделать этот сервер так, чтобы он выглядел снаружи максимально безобидным. В надежде, что это поможет ускорить разблокировку.
Какой на ваш взгляд самый простой и эффективный вариант это сделать?
Переустановить ос
Переустановить - это в первую очередь.
Но если просто переустановить ОС и оставить пустой чистый сервер, то не будет ли он выглядеть снаружи каким-то непонятным-подозрительным?
Может быть повесить на него какой-то простой сервис, который будет временно изображать максимально безобидную полезную активность (для ускорения разблокировки)?
Имеет ли это смысл с вашей точки зрения?
это было сильно
Как повезет. От пары недель до нескольких месяцев обычно
Прошлой ночью они уже начали блокировать SSH протокол. Идиоты. Вот они уже зае*ли блокировать нормальные сайты типа https://kubernetes.io/ , у меня даже govulncheck не может базы обновить и виснет при запуске, ИИ агенты отваливаются. Мне не интересны ваши тиктоки, сво, и вся ваша политика, мне работать надо! Дайте уже людям нормально работать и перестаньте кошмарить бизнес, который несет огромные убытки из-за этих блокировок!
ip в лс отправите? не видел блокировки ssh, только наоборот, когда он работал на заблок ip
у меня тоже доступ вообще к ip перекрыт из РФ
давно блочат мелкие региональные провайдеры, целыми блоками хецнер тот же. в мск - блочится любой ссш клиент, линуксовый, mobaxterm, etc. кроме штатного виндового ssh.exe
у вас есть 16кб блокировка при этом или нет? например http://49.13.77.36/publicDocs/GenresmanSunum2020_v2.pdf
на даче вообще фуллбок хетцнера. и вчера отрыгнул фуллблок к сети другого хостера. ни icmp, ничего не работает
мне работать надо!
Опа. Так, этого в тероборону значимых объедков от БПЛА /s
У меня ssh внутри страны падает. ~2МБ и тишина. Иногда даже не подключается, ответ не прилетает. Провайдеры создают тикеты... Приходится использовать средства обхода блокировок внутри страны...
Мне не интересны ваши тиктоки, сво, и вся ваша политика, мне работать надо!
Проблема в том, что хоть вы политикой и не интересуетесь, она вами очень даже интересуется...
Мне не интересны ваши тиктоки, сво, и вся ваша политика, мне работать надо! Дайте уже людям нормально работать и перестаньте кошмарить бизнес, который несет огромные убытки из-за этих блокировок!
Если у вас есть альтернативный источник заработка и нет долгов - как вас заинтересовать целевым?
Мне не интересны ваши тиктоки, сво, и вся ваша политика, мне работать надо!
К сожалению, это идет в комплекте. Главное, что политика то вами интересуется, а незаинтересованность никакой защитой не является.
Дайте уже людям нормально работать и перестаньте кошмарить бизнес, который несет огромные убытки из-за этих блокировок!
Да, и это ужасно. Я вот прикидываю сцену через 10 лет, эпоха Путина закончилась, Россия вернулась на международную арену, все бизнесы стали глобальными: условный сисадмин Вася приходит на собеседование.
Что умеешь, чем занимался, какой стаж?
Блокировки умею обходить как боженька! Версии ТСПУ и их механизмы помню на зубок! 12 лет стажа и 10 из них посвятил блокировкам.
Ну ок, но в мире этим не занимаются, эти навыки бесполезны, а из полезного - вы - специалист с 2 годами. Начинающий. Можем предложить вам зарплату начинающего. Норм?
И в бизнесах абсолютно та же ситуация: в конце российские бизнесы столкнуться в конкуренции с зарубежными. Одни инвестировали в автоматизацию, другие боролись с ветряными мельницами. Нетрудно догадаться, кто выиграет.
Ну насчёт "в мире этим не занимаются", боюсь, не всё так радужно...
Но да, радости будет мало при любом раскладе.
Россия вернулась на международную арену, все бизнесы стали глобальными
а вы оптимист. я бы не стал ставить на 10 лет. это сильно дольше.
Что умеешь, чем занимался, какой стаж?
На такой вопрос можно и по другому ответить:
- Отлично знаю стек сетевых протоколов вплоть до уровня структуры пакетов TCP/UDP.
- Опыт построения частных зашифрованных сетей передачи данных, устойчивых к внешним злонамеренным вмешательствам.
- Администрирование удаленных систем при нестабильной работе каналов передачи данных.
- Соблюдение режима коммерческой тайны в части организации системы передачи данных компании.
И прочий копроративный буллшит, который уже выглядит куда круче )))
Когда они пришли за коммунистами…
Начали? Мой уже давно, с полгода как. Поменяли IP, снова начали
Вчера в первой половине дня все прекрасно работало. После тупо отрубили и по ssh вообще не подключится.
В итоге - старый добрый port knocking рулит?
Сначала постучаться, а потом уже для этого IP открывать все сервисы. А до этого - только легитимный https со страницей-заглушкой "я и мои котики".
за неделю 2 отлетело, вчера тоже после обеда один слетел, все равно закрывать собирался, подтолкнули только)
Пришлите фотографию вашей банковской карты с двух сторон, чтобы проверить, есть ли она в базе данных мошенников.
Ваш сервер и так уже известен Censys, поскольку Censys сканирует весь интернет по собственной инициативе (это как поисковик Google, только для IP-адресов, у него есть свои краулеры). Таким образом:
если у вас там хоть какие-то порты открыты всему свету (0.0.0.0), то Censys уже про вас знает (бояться проверки поздно, надо сначала порты закрывать и ждать, пока сервис "забудет", что там что-то было). При этом, закрывать SSH я б
если вы все порты позакрывали файерволлом и разрешили подключение лишь с доверенных адресов или через порт-кнокинг, то Censys при ручной проверке ничего и не увидит (нет смысла бояться проверки)
Ну вот, судя по новостям, через пару дней после этой статьи пошла волна банов: https://t.me/sysodmins/29870
Скрытый текст
Не забывайте, пожалуйста, тег сарказма
И как укрыться от Active Probing не удаляя сервисы?
Протоколы на базе HTTP - прятать за путями рядом с обычным сайтом на том же сервере. Умные протоколы типа VLESS сами умеют отвечать "чужим" клиентам сайтом-заглушкой.
Для всего остального - port knocking, открывающий порт только для "постучавшегося" айпишника. Не панацея, но тоже кое-что.
я бы пошел по пути Intrusion detection system и вообще сделал это автоматическим. Эта штука является сканером портов. Значит и блочить их ип можно навсегда при попытке tcp syn на несколько разных портов в течение малого промежутка времени.
Но это пропустит часть первого сканирования.
Если прям сильно заколебаться этим вопросом: То можно расчехлить давно уже забытую штуку вроде greylisting из мира почтовиков: при первом обращении с незнакомого ip мы на секунду придерживаем tcp соединение, не отдавая tcp ack. И если за эту секунду прилетело такое на несколько портов, то в бан сразу. (но пользоваться осторожно, т.к. такие зависшие соединения сильно понижают планку DOS атаки на сервер).
Насколько я помню - у фаервола линукса была функция заворачивания в фильтр на пользовательском уровне и такое можно сделать.
Что есть запрещенные сервисы? Огласите весь список пожалуйста.
Можно зайти и с другой стороны - есть предположение, что некие прекрасные люди осуществляют сканирование и active probing исключительно из AS213853 и 61280 (возможно ещё из каких-то). Контрмеры придумайте сами :)
При обнаружении запрещенных сервисов IP‑адрес блокируется на территории РФ.
неплохо бы начать с того, что таких сервисов не существует. И весь этот движ примерно полностью незаконен. Потому что отнести тот или иной сервис к запрещенным можно только после глубокого анализа его работы, а вовсе не по приветствию (даже впн запрещены лишь те, которые занимаются обходом блокировок, но приветствия у них вполне могут быть одинаковые).
Вместо яндекса часто встречаются apple, google, rutube и др. популярные сайты, которых на частных серверах быть не может
Почему не может? Можете показать, где в законах написано, что я не могу сделать проброс порта 443 => google.com:443 в любых целях, пусть будет в исследовательских? или я вот хочу таким образом сделать для моего приложения вынос настроек наружу - оно всегда будет ходить к моему серверу на порт 443, а проброс сможет переключать это между разными сайтами. Выглядеть это будет абсолютно также.
Кто сказал что вы не можете купить пакет серы, пакет аммиачной селитры, пакет угля для мангала и электромясорубку с функцией мельницы?
Можете, конечно.
Но делать это одновременно - может навести больных людей на нездоровые мысли.
Принцип понятен... А вот сам набор нет. Есть более бытовые заменители.
Кмк, мы просто перешли к мыслепреступлениям от какой-то реальности.
Hidden text
Тогда мужчина встаёт и говорит:
— Ну, тогда судите меня сразу и за изнасилование!
Судья в шоке:
— А вы кого-то изнасиловали?!
— Нет, но аппарат-то (орган) имеется!
в законах написано
Было бы смешно, если бы не было так грустно. Закон уже давно один - "хозяин сказал".
В начале сентября, ip улетел в бан, причем улетел ip именно балансировщика, а там открыто пара бинарных протоколов и пара https сервисов и никаких ВПНов. По прямому ip было все доступно, а там и ssh и wg. Блокировка была дропом tcp коннектов, так что коннекты проходили и трассировка в таком случае показывает что все ок. В яндексе сказали менять адрес, в итоге получилось, но не с первой попытки(там уже некоторые в полном бане).
И как "не дать заблокировать свой VPS"? - писать в спортлото?
Если у вас действительно ни намёка на обход блокировок, то можно написать инет провайдеру. Далеко не все конечно соглашаются, но бывает что если дать ссыль на нерабочий сайт, то они обращаются куда надо и айпи или домен добавляют в белый список тспу. Я поворачивал такое несколько раз со своими и чужими сайтами
У меня сегодня пропал доступ к зарегистрированному в РКН серверу, симптомы как у тестового адреса из статьи - traceroute блокируется до шлюза провайдера (Билайн).
Сайт был недоступен с любых площадок, даже зарубежных. Ждать пока разблокируют не было возможности, но при повторе попробую оставить старый адрес и отписаться нескольким провайдерам.
Заблочили адрес VPS, но оставался доступен с транзитных узлов (из РФ), потому я не переживал. Сегодня же доступ пропал совсем из РФ. Начал менять ip у хостера, только с 5 попытки попался незаблокированный
лучший способ не дать РКН заблокировать ваш VPS: нет ркн - нет проблемы. остальное - бесконечная возня придушить ближнего. в итоге - потеря времени и бесполезная трата ресурсов. но московской банде этого не понять. наблюдаем.
У меня 2 VPS, оба с AmneziaWG. Первый "чистый" и только мой, второй - "помоечный", IP шэрится ещё с кем-то. На обоих моя AWG не видна вообще, на "помоечном" куча гениев повесила много TLS с популярными российскими сервисами. Но пока не заблокирован...
Я сейчас уже не вспомню когда вся эта глобальная РКН катавасия с блокировками началась. Не то прошлой осенью, не то весной. Все эти аренды серверов заканчивались через месяц - два. И тогда я понял - что знают двое, знают все. Я изредка опять читаю что чтото снова блокируют, снова много статей и обсуждений. Нужно спокойно обдумать и пойти своим путём. Я не сталкиваюсь с проблемой доступа с января, вообще. И вот я жду когда же всё таки я столкнусь с проблемой блокировок, я уже скучаю по этим блокировкам. начинал я вот с этого старого обзора вопроса. https://habr.com/ru/articles/145436/
У Censys еще и какой-то свой blocklist имеется.
Что они блокируют, интересно? )
Человеки, которые в РКН реализуют палки для колес и ковровые блокировки, вероятно соседи по Хабру. Откликнитесь что-ли (хотя бы и в единственном числе) на благодарность за безопасную безопасность и эффективное техническое противодействие угрожающим угрозам))
Последние 2 дня столкнулся с тем, что не могу попасть на свои сервера по ssh. Соединение отваливается по таймауту. Что через проводной инет, что через Билаин.
С включённым впном всё прекрасно работает...
Есть идеи что можно сделать чтоб вернуть доступ(кроме переезда в другую страну)? 🤣 Сервера до конца года оплачены 😬
Такая же история у меня, причем сервер использовался для личных нужд, попал под блокировку. Провайдер отписался, что так все и сеть.
Upd:
Оформил официальное обращение в ркп. Сегодня пришёл ответ. Говорят что ничего не блокировали, и не будут заниматься этими разборками, это всё тспу, а они ни при чем🤡
Может конечно я каким то офисный бездельникам направил по незнанию, а не тех. специалистам 😅
В ответе рекомендуют проверить на их сайте наличие адреса в списке заблокированных(там его нет). И затем терроризировать моего оператора - чтоб он всё разруливал.
Если бы сервера блокировали, то помогла бы смена IP или сайт был бы доступен через zapret. В моём случае ни то ни другое не помогает.
Censys ничего не нашёл.
Не увидел писал ли кто-то про это, но кроме четвертой версии протокола, есть еще и шестая и в некоторых случаях с этой версией доступ к серверу есть
тоже с ссш шляпа началась таймаутит баннера трасировка вообще не как в первом случае пинги доходят
Как быть, если ip недоступен из РФ, кроме sstp на нём ничего не было?
Только менять его теперь?
Позавчера купил виртуалку у firstbyte.ru, поставил туда просто ssh и dante socks5 proxy оба на рандомных портах, вчера работало все нормально, сегодня вечером все мгновенно исчезло. Трафик до виртуалки просто не доходит никак, пробовал из виртуалки подключиться к себе - поднял ftp сервер, вроде виртуалка подключается, даже авторизацию проходит но как дело доходит до обмена данными - connection timeout.
Зашёл на censys, там про айпишник глухо, нет никакой информации.
Попробовал подключиться через бесплатный прокси из турции(который нашел на proxyscrape.com/free-proxy-list где большая часть недоступна а остальные живут сутки) и подключение прошло без проблем.
Даже curl российских сайтов с виртуалки работает, но до обмена данными не доходит.
Не думаю что айпи блочатся именно за факт обнаружения там каких-то сервисах на портах. Много серверов живут, спокойно отвечая всем на условные udp/500, udp/1194 для работы (без внесения во всякие белые списки)
больше поверю в то что в блок отлетают те айпи, о которых сообщают РФ приложения в соответствующие места в рамках новых требований от минцифры к айти компаниям
Да, это кажется наиболее правдоподобной версией. Сначала клиенты сами сливают IP адрес сервиса в РКН через российские приложения и сайты, а далее прилетает бан по накопленным спискам.
У меня тоже была такая мысль , но дело в том что вчера я сделал новую тачку(да я не запаривался о портах у меня все торчало на ружу) но тачка даже сутки не прожила. И блоки прилетел примерно в 12 по мск, и получается что они за сутки научились в бан ip закидывать ? Больше никаких подгонов , только мой сервер никто о нем не узнает. И из дома я выходить не буду еще кстати.....
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Не дайте РКН заблокировать ваш VPS