Почему запретить в стране Tor всё-таки можно и как это будет работать. Стало известно, как в России будут блокировать Tor Тор обход блокировки
В Беларуси вышло постановление о способах ограничения доступа к сайтам. Из него стало известно, что в случае нарушения законодательства блокировать смогут всё и для всех.
Кроме прочего планируется ограничивать доступ к прокси-серверам и сетям типа Tor, через которые пользователи будут пытаться зайти на заблокированные сайты.
Способа узнать, на какой сайт пользователь пытается зайти через прокси-сервер, не существует. Если технология сделана нормально, то канал будет зашифрован, и никто не узнает, на какой сайт пользователь заходит через прокси, Tor или VPN. Так что ловить за руку не получится. Поэтому можно сделать вывод, что блокировать могут только все прокси и VPN.
Ловить же тех, кто ходит через прокси именно на запрещенные сайты, практически невозможно и дорого. А значит, блокировать будут либо всех, либо повторится история, как с указом 60. В законе будет прописано, но на практике заниматься блокировкой всех прокси, VPN и Tor никто не будет. До определенного момента…
Заблокировать Tor-браузер можно, но не для всех и ненадолго
Технологий обхода цензуры в интернете есть несколько. Tor-бразуер - самая популярная. Блокировать его тяжело, но возможно в нужные моменты для большинства людей. Есть несколько способов.
Запретить скачивание Tor-браузера
Можно закрыть сайты для скачивания самой программы. И наделать поддельных сайтов для скачивания, где выложить версию браузера с вирусом. Так пользователям будет тяжело его получить.
Запретить адреса, вшитые в браузер
Tor-браузер меняет порты и использует целую сеть компьютеров для доступа к сайтам. По такому же принципу работает сайт для скачивания фильмов, музыки и программ Торрент - вы скачиваете файл сразу с нескольких разных компьютеров. Естественно, все их заблокировать сложно.
Но для первого выхода в интернет в браузере прописаны определенные адреса, которые легко найти, изучив браузер, и заблокировать их. С переменным успехом этим занимается Китай. Конечно, специалисты-компьютерщики смогут оперативно прописать новые адреса, но для большинства пользователей Tor-браузер перестанет работать на некоторое время, пока разработчики браузера не выпустят обновление, решающее проблему.
Заблокировать VPN тоже можно
Есть три варианта VPN-технологий. Некоторые блокировать просто, потому что они заходят в интернет через определенные порты, которые можно легко узнать и закрыть.
OpenVPN, например, заблокировать не так легко. Программа умеет притворяться обычным браузером, который заходит в интернет по зашифрованному каналу.
Есть около 100 самых распространенных VPN-провайдеров. Их заблокировать несложно, просто по списку. Переписать все адреса серверов и заблокировать. Этим пользуется Китай, довольно эффективно.
Компании и компьютерщики смогут найти VPN-серверы, которые не заблокированы. Но это вариант не для всех.
Веб-прокси заблокировать легко
Третий вариант доступа к сайтам - это веб-прокси. По сути, веб-прокси - это тоже сайты. Забив их в поиске, можно найти самые популярные и ограничить доступ к ним так же, как ко всем остальным сайтам. Существуют программы, способные “поднимать” прокси, но освоить их не сможет большинство пользователей интернета.
Есть проекты, способные обойти цензуру
Проект lantern задуман как эффективный способ обойти цензуру. Принцип его работы таков, что пользователи становятся друг для друга прокси-серверами. Но каких-то простых выходов пока нет. Если новый закон будет исполняться с энтузиазмом, то может доставить проблем и с этим способом. Если нет, то его будет легко обойти.
Создать блокировку на ограниченное время для большинства пользователей несложно. Но закон могут держать в кармане просто для того, чтобы воспользоваться им в определенное время.
Блокировка сайтов - коммерчески доступная технология. Беларусь может купить готовое решение и довольно быстро запустить его. Производством таких решений занимаются компании в Европе и России.
С 26 февраля вступает в силу Документ приняли Оперативно-аналитический центр при Администрации президента и Минсвязи по согласованию с Мининформации.
Разбор полётов: Кто его раздевает, тот слёзы проливает.
5 февраля в Госдуме и Роскомнадзоре активно взялись за инициативу по борьбе с использованием анонимайзеров и «луковичной» сети Tor. Воспринимая их как притон преступников, где производятся незаконные сделки и распространяется запрещённая информация, правительство и контролирующий орган стремятся объявить анонимные сети вне закона и ограничить к ним доступ.
Мы решили напомнить, чем является Tor и почему его устройство не позволяет ему оказаться заблокированным, несмотря на усилия властей.
Что такое Tor
Tor - экосистема проектов, построенных на сети компьютеров, через которую информация передаётся схожим с пиринговыми сетями образом, но в зашифрованном виде. Название Tor происходит от сокращения The Onion Router - «луковичной системы роутеров», названной так из-за множества слоёв шифрования, похожих на чешуйки луковицы.
Объяснить, как работает Tor - задача не из лёгких. Наиболее наглядно это делает видео, подготовленное Массачуссетским технологическим институтом.
В видео MIT продемонстрировано, как информация передаётся от одного компьютера к другому (например, от пользователя браузера Tor к владельцу сайта) и обратно, шифруясь на каждом из узлов сети Tor и меняя IP-адрес, с которого идёт запрос. Компьютеры в сети, работающие в качестве прокси-серверов, называются ретрансляторами (relay). Из-за использования нескольких «слоёв» шифрования узнать, что за данные были переданы изначально, очень сложно или даже невозможно.
Однако помимо расшифровки пакета зашифрованных данных есть и другие способы узнать, кто делал запрос: например, при использовании популярных протоколов шифрования SSL и TLS в запросе остаётся служебная информация - например, об операционной системе или о приложении, которое отправляло данные или ожидает их получения. Однако в Tor эта информация «вырезается» из пакета данных, анонимизируя отправителя.
Кроме того, каждый раз для доставки данных выбирается случайная последовательность из компьютеров-узлов, число которых в сети Tor исчисляется тысячами - это не позволяет определить, что несколько разных запросов посылаются одним и тем же лицом.
Как пользоваться Tor
Для использования сети Tor нужно установить одно из приложений, полный список которых перечислен на сайте Tor Project .
В 2006 году появилось Vidalia - первое приложение из экосистемы Tor, которое устанавливает защищённое подключение через сеть Tor на компьютере, ставшее популярным благодаря простому графическому интерфейсу. Тогда, в 2006 году, для многих пользователей Vidalia и была «тором». При помощи Vidalia можно настраивать другие приложения для передачи данных в зашифрованном виде.
В 2007 году Vidalia встроили в Tor Browser Bundle - пакет программного обеспечения, который для простоты называют браузером Tor. Сейчас Tor Browser Bundle является самым популярным продуктом из всей экосистемы, потому что позволяет выходить в интернет без каких-либо дополнительных настроек: приложение достаточно скачать и запустить без специальной установки.
Браузер Tor работает на основе Firefox. Безопасность его работы проверялась волонтёрами и разработчиками-энтузиастами огромное число раз - больше, чем любой другой продукт экосистемы Tor.
В июне 2014 года появилась операционная система Tails на базе GNU/Linux, которая умеет запускаться с флешки и «мимикрировать» под Windows XP, чтобы не привлекать лишнего внимания при работе из общественного места. Tails имеет встроенный браузер Tor, клиент электронной почты с поддержкой шифрования, пакет офисных программ и графические редакторы.
Критика и недостатки Tor
Проблема Tor заключается в том, что должный уровень безопасности обеспечивается только в том случае, если используемые приложения правильно настроены для работы с ним. Например, Skype не будет по умолчанию корректно работать через Tor, а в браузере Tor по умолчанию отключён Flash, так как он может подключаться к удалённым серверам самостоятельно, не через Tor, выдавая таким образом личность пользователя.
Создатели Tor предупреждают, что при подключении через их сеть опасно открывать даже популярные форматы документов.doc и.pdf, потому что они также могут загрузить контент (например, изображения) с внешних источников при открытии их в сторонних программах, не сконфигурированных под Tor. Кроме того, в Tor нельзя пользоваться торрентами: во-первых, они сильно перегружают сеть, во-вторых, из-за особенностей в работе протокола BitTorrent подключения через него осуществляются напрямую, а не через сеть компьютеров волонтёров, анонимизирующих трафик.
Из-за устройства сети, где информация передаётся между множеством компьютеров, имеющих разные скорости подключения и разную пропускную способность каналов связи, общая скорость сети Tor долгое время находилась на уровне дайал-апа. Из-за этого большинство сайтов в даркнете до сих пор имеют примитивный дизайн и стараются лишний раз не использовать изображения, чтобы не перегружать сеть.
Осенью 2014 года Tor раскритиковали за возможную дыру в безопасности после ареста владельца «возрождённого» интернет-магазина Silk Road 2.0, доступ к которому осуществлялся только через анонимную сеть. Арестованы были ещё 17 человек и около 400 сайтов, также сообщалось о конфискации компьютеров, служивших ретрансляторами Tor.
Следствие, которое велось Европолом в сотрудничестве с ФБР и другими спецслужбами, не раскрывало, каким именно способом были найдены арестованные лица и компьютеры. Сеть Tor стали критиковать за наличие уязвимостей и возможные связи с правительством, что чуть не вызвало раскол в его сообществе. Однако нашлись и те, кто обратил внимание на математический подход к алгоритмам шифрования: даже если связи с правительством действительно существуют, обмануть науку не получится.
Кто делает Tor
Несмотря на огромную популярность сети Tor и её продуктов, над их разработкой трудится всего около десятка человек. Изначально созданием сети Tor в начале 90-х занялась исследовательская лаборатория ВМC США, и до 2010 года она являлась активным спонсором проекта.
В разное время на поддержку и разработку Tor давали деньги разные государственные и окологосударственные организации, в том числе SRI International и DARPA, из-за чего у многих противников проекта сложилось впечатление его подчинённости правительству США.
В 2006 году Tor Project получил грант от фонда основателя eBay Пьера Омидьяра, а с 2007 года разработку проекта также спонсировала корпорация Google. Свои деньги также жертвовала компания Ford, некоммерческий фонд по борьбе за свободу прессы (Freedom of the Press Foundation), фонд Human Rights Watch и один из американских интернет-провайдеров, который перевёл деньги анонимно.
Анонимные пожертвования также приходили от более чем 4600 человек, так что теоретически спонсором работы Tor может оказаться человек в любом из мировых правительств.
Чего хотят добиться Госдума с Роскомнадзором
5 февраля председатель профильного комитета Госдумы Леонид Левин выступил с предложением разработать законопроект, по которому доступ к анонимным сетям Tor будет ограничен. По мнению Левина, анонимайзеры (сайты, скрывающие IP-адрес пользователя при просмотре других сайтов или использования интернет-сервисов) и средства доступа в Tor следует блокировать без решения суда.
По мнению депутата, такой закон позволит не допустить распространения запрещённой информации, а также будет противодействовать коммерческому распространению вирусов и незаконному доступу к информации. Иными словами, Левин считает, что Tor используется для организации теневого рынка по продаже эксплойтов и других хакерских услуг.
Позднее тем же днём идею Левина поддержали в Роскомнадзоре, мотивируя это тем, что Tor и другие анонимайзеры позволяют обходить блокировки сайтов. По словам пресс-секретаря ведомства Вадима Ампелонского, решить задачу блокировки анонимайзеров возможно, но как именно планируется это сделать, он не уточнил.
На следующий день Ампелонский рассказал «Ленте.ру», что в его понимании экосистема Tor является рассадником преступности. Представитель ведомства сравнил анонимную сеть с московским районом Хитровка, существовавшим в дореволюционные времена и зачищенным от воровских притонов при Советском Союзе.
Был в прошлом и позапрошлом веке в Москве такой район - Хитровка. Криминальное дно, территория обитания социальных отбросов. Почему русская монархия терпела Хитровку в пешей доступности от места, где короновались августейшие? Доподлинно неизвестно, но, видимо, имея всех упырей в одном месте, их легче было контролировать.
Вот Tor - это глобальная киберХитровка. Созданная и управляемая знамо кем. Как поступила с Хитровкой советская власть? Почитайте у Гиляровского.
Вадим Ампелонский, пресс-секретарь Роскомнадзора
Выступления Левина и Ампелонского - не первые попытки поднять общественную дискуссию вокруг запрета Tor и анонимайзеров. В июне 2013 года газета «Известия» сообщала, что в Общественном совете при ФСБ готовили рекомендации о необходимости запрета анонимных сетей. Хотя Общественный совет при ФСБ позднее опроверг соообщение о разработке рекомендаций, в августе «Известия» снова сообщили о законодательной инициативе блокировки Tor и анонимайзеров.
Тогда в ФСБ рассказывали, что в сети Tor злоумышленники торгуют оружием, наркотиками, поддельными кредитными картами. Директор «Лиги безопасного интернета» Денис Давыдов также поддерживал идею блокировки Tor, считая сеть местом «для общения педофилов, извращенцев, наркоторговцев и других уродов».
Почему TOR бессмысленно пытаться заблокировать
По мнению директора по стратегическим проектам Института исследований интернета Ирины Левовой, Роскомнадзор не сможет отличить зашифрованный трафик, идущий через Tor, от IP-телефонии, банковских операций или даже онлайн-видео. Ведомство может попытаться заблокировать сайты, распространяющие программы для выхода в интернет через Tor, однако пользователи могут воспользоваться для их скачивания другими, ещё не заблокированными анонимайзерами.
Так происходило в 2013 году в Ираке, когда правительство заблокировало сайт Tor Project вместе с Facebook, Twitter, Google и YouTube из опасений, что их может использовать для самоорганизации экстремистская группировка «Исламское государство» (ИГИЛ). Тогда активисты стали запускать зеркала сайта с инструкциями по установке и использованию на арабском языке, что могло даже увеличить число пользователей Tor.
В 2011 году владельцы интернет-сервисов, доступ к которым осуществлялся по зашифрованному соединению, стали сообщать о странной активности из Китая. Когда пользователь из КНР попытался подключиться к таким сервисам, он отправлял на сервер непонятный запрос, после чего его подключение обрывалось. Таким образом в Китае отключили не только доступ к сети Tor, но и другие зарубежные сервисы, работающие через зашифрованный канал.
Более того, правительству и правоохранительным органам, считающим Tor рассадником преступности, просто невыгодно блокировать доступ к анонимной сети. По словам источника «Известий», знакомого с ситуацией вокруг инициатив 2013 года по блокировке Tor, такие анонимные сети считаются безопасными, что позволяет спецслужбам успешно ловить в ней преступников. Если Tor будет заблокирован, то появится новая сеть, и органам придётся разрабатывать новые методы контроля и поиска преступников.
Что если вам хочется ходить в сеть без надуманных ограничений, но не хочется каждый раз в браузере подменять прокси? Что если вы хотите заходить и на запрещенные сайты, и на обычные, и чтобы при этом скорость, с которой открываются обычные сайты, не страдала? Что если вам интересно знать что творится в удалённых частях глобальной сети?
Исходя из этих соображений нам нужно чтобы:
- Обычные сайты открывались как обычно
- Запрещенные сайты открывались через Tor без настроек
- Все сайты в зоне.onion тоже открываются без настроек
С одной стороны, требования противоречивые. А другой стороны, чего не сделаешь ради удобства!
Можно было бы вспомнить различные способы и средства для обхода DPI , но если не хочется ни о чем таком думать, а скорей даже хочется настроить и забыть, то аналогов Tor для решения поставленной задачи в части простого доступа к заблокированным сайтам нет.
Вы не получите полной анонимности следуя только этим инструкциям. Анонимность без мер OPSEC невозможна. Инструкция подразумевают лишь обход ограничений.
Что нам нужно?
Для начала нам нужен или роутер, или сервер, работающий в качестве прозрачного моста, пропускающего через себя весь трафик. Это может быть и существующий сервер, это может быть и коробочка с Raspberry Pi. Могут подойти и обычные компактные роутеры с Linux, если на них в принципе можно поставить необходимые пакеты.
Если подходящий роутер у вас уже есть, то настраивать отдельно мост не нужно и можно .
Если же установка Tor на ваш роутер представляет проблему, то вам понадобится любой компьютер с двумя сетевыми интерфейсами и Debian Linux на борту. Его вы в конечном счёте подключите в разрыв сети между роутером, который смотрит во внешний мир, и вашей локальной сетью.
Если не до серверов и роутеров, то возможно .
Настроим мост
Настройка моста в Debian проблемы не представляет. Вам понадобится программа brctl , которая есть в пакете bridge-utils:
apt install bridge-utils
Постоянная конфигурация для моста задаётся в /etc/network/interfaces . Если вы делаете мост из интерфейсов eth0 и eth1 , то конфигурация будет выглядеть так:
# Отметим интерфейсы как настраиваемые вручную iface eth0 inet manual iface eth1 inet manual # Мост поднимается автоматически после перезагрузки auto br0 # Мост с получением IP по DHCP iface br0 inet dhcp bridge_ports eth0 eth1 # Мост со статическим IP iface br0 inet static bridge_ports eth0 eth1 address 192.168.1.2 netmask 255.255.255.0 gateway 192.168.1.1
Вам нужно выбрать какую-то одну конфигурацию для моста: с динамическим IP или статическим.
Обратите внимание что на этом этапе не обязательно включать сервер в разрыв сети. Можно обойтись и одним подключенным интерфейсом.
Попросим систему применить новые настройки:
service networking reload
Теперь можно проверить существование моста командой brctl show:
# brctl show bridge name bridge id STP enabled interfaces br0 8000.0011cc4433ff no eth0 eth1
Посмотреть выданный IP адрес, и проверить вообще факт выдачи какого-то IP по DHCP или статически, можно командой ip:
# ip --family inet addr show dev br0 scope global
4: br0:
Если с IP адресами всё в порядке, то уже можно попробовать включить сервер в разрыв сети...
В конце концов все устройства в вашей сети, будучи включены через сервер, должны иметь полный доступ к глобальной сети будто никакого сервера между ними и внешним роутером нет. То же касается работы DHCP и прочего. Всё это стоит проверить до перехода к настройке Tor.
Если что-то работает не так же, как раньше, или вообще не работает, стоит сначала решить проблемы, лишь потом переходить к настройке собственно Tor.
Настроим демон Tor
Установка Tor выполняется обычно. Установим также базу данных привязки к странам:
apt install tor tor-geoipdb
В конец файла конфигурации /etc/tor/torrc нужно дописать директивы для включения функции прокси-сервера:
VirtualAddrNetworkIPv4 10.0.0.0/8 AutomapHostsOnResolve 1 TransPort 0.0.0.0:9040 DNSPort 0.0.0.0:5300
Перезапустим Tor и проверим что DNS в нашей конфигурации работает на каком-нибудь известном сайте:
# service tor restart # dig +short facebookcorewwwi.onion @localhost -p 5300 10.11.127.156
Последняя команда должна вывести IP из подсети 10.0.0.0/8 .
При перезапуске Tor по делу ругается на использование публичного IP для TransPort и DNSPort , которые в самом деле могут быть доступны посторонним. Исправим это недоразумение, разрешив только соединения из локальной сети (в моём случае это 192.168.1.0/24):
iptables -A INPUT -s 192.168.1.0/24 -p tcp --dport 9040 -j ACCEPT iptables -A INPUT -s 192.168.1.0/24 -p udp --dport 5300 -j ACCEPT iptables -A INPUT -p tcp --dport 9040 -j DROP iptables -A INPUT -p udp --dport 5300 -j DROP
Последние два правила можно пропустить если у вас для цепочки INPUT по умолчанию стоит правило DROP .
Настроим доступ для всей локальной сети
Чтобы все устройства в сети смогли зайти на сайты в Tor нам нужно переадресовать все запросы к выделенной сети 10.0.0.0/8 на порт встроенного прокси-сервера Tor:
iptables -t nat -A PREROUTING -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040 iptables -t nat -A OUTPUT -p tcp -d 10.0.0.0/8 -j REDIRECT --to-port 9040
Два правила для цепочек PREROUTING и OUTPUT мы добавляем чтобы схем работала не только с устройств в сети, но и с самого сервера. Если не требуется чтобы эта схема работала с самого сервера, то добавления правила в цепочку OUTPUT можно пропустить.
Переадресация DNS запросов к зоне.onion
Эту проблему можно было бы решить либо заменой DNS сервера на свой в DHCP ответах клиентам, либо, если у вас в сети не принято использовать локальный DNS сервер, перехватом всего DNS трафика. Во втором случае не нужно будет ровным счетом ничего настраивать, но все ваши клиенты, и вы в том числе, потеряете возможность делать произвольные запросы к произвольным серверам. Это очевидное неудобство.
Мы же будем переадресовать лишь DNS запросы, упоминающие домен.onion , на порт встроенного DNS сервера, оставляя все остальные запросы в покое:
iptables -t nat -A PREROUTING -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300 iptables -t nat -A OUTPUT -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300
Магическая строка 056f6e696f6e00 связана с особенностями передачи точки в DNS запросах : она передаётся в виде длины следующей после неё строки. Потому в начале нашей магической строки стоит 0x05 для пяти символов в слове onion . В конце строки стоит нулевой байт 0x00 потому что корневой домен (точка) имеет нулевую длину .
Такой подход позволяет ваши пользователям (и вам самим) пользоваться какими им удобно DNS серверами, а также запрашивать информацию у любых DNS серверов без посредников. Вместе с тем никакие запросы в зоне.onion не будут попадать в открытый интернет.
Теперь попробуйте достучаться до какого-нибудь популярного сайта в сети Tor с любого устройства в локальной сети. Например, так:
$ curl -I facebookcorewwwi.onion HTTP/1.1 301 Moved Permanently Location: https://facebookcorewwwi.onion/
Отладка и решение возможных проблем
Если хочется убедиться что никакие DNS запросы к.onion не идут дальше сервера, то их отсутствие можно проверить так:
ngrep -q -d br0 -q -W byline onion udp port 53
В норме эта команда, выполненная на сервере, должна показать полное отсутствие пакетов - то есть не выводить ничего, чтобы вы не делали.
Если Firefox не видит.onion
Если вам это мешает, а перспектива случайной деанонимизации вас не волнует (ведь мы уже не пускаем DNS запросы к.onion в открытый интернет), отключить эту настройку можно в about:config по ключу network.dns.blockDotOnion .
Мобильный Safari и.onion
Программы под iOS, включая Safari и Chrome, в принципе игнорирует.onion при работе по такой схеме. Как исправить эту проблему в рамках такой схемы мне неизвестно.
Провайдер подменяет IP в DNS
Некоторые провайдеры из экономических соображений, вместо блокировки сайтов по IP или через DPI, лишь подменяют IP для DNS запросов по списку запрещенных сайтов.
Простейшим решением этой проблемы будет переход на сервера Google Public DNS . Если это не помогает, а значит ваш провайдер перенаправляет вообще весь DNS трафик на свой сервер, то можно перейти на использование Tor DNS, в свою очередь переадресовав весь трафик на него:
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 5300 iptables -t nat -A OUTPUT -p udp --dport 53 -j REDIRECT --to-ports 5300
В моей сети используются IP из 10.0.0.0/8
Нет проблем! Во всех директивах выше используйте какую-то другую подсеть из предназначенных для этого , исключая зарезервированные . Серьезно, обратите внимание на резервированные.
Кроме того, не обязательно использовать сразу весь диапазон - можно ограничиться и подсетью. Например, подойдет 10.192.0.0/10 .
Обход блокировок через Tor
Для выхода на заблокированные сайты через Tor прежде всего нужно убедиться что вы не меняете шило на мыло, используя выходные узлы подверженные тем же ограниченияем что и вы в силу географического нахождения. Это можно сделать указав в torrc выходные узлы в каких странах нельзя использовать.
ExcludeExitNodes {RU}, {UA}, {BY}
Обновляем реестр
Реестр не стоит на месте и список заблокированных сайтов пополняется. Потому вам нужно время от времени выгружать актуальный список IP и добавлять его в ipset . Лучше всего это делать не выгружая весь список целиком каждый раз, а выкачивая только изменения, например, отсюда c GitHub .
#!/bin/bash set -e mkdir -p /var/local/blacklist cd /var/local/blacklist git pull -q || git clone https://github.com/zapret-info/z-i.git . ipset flush blacklist tail +2 dump.csv | cut -f1 -d \; | grep -Eo "{1,3}\.{1,3}\.{1,3}\.{1,3}" | tee /var/local/blacklist/blacklist.txt | xargs -n1 ipset add blacklist
Возможно удалять и добавлять только изменившиеся в списке IP, для чего вам может пригодится git whatchanged .
Если вам подходит скрипт выше, то ему самое место в /etc/cron.daily/blacklist-update . Не забудьте дать этому файлу права на выполнение.
chmod +x /etc/cron.daily/blacklist-update
Сохраняем настройки
apt install iptables-persistent
dpkg-reconfigure iptables-persistent
К сожалению, такого же удобного пакета для ipset пока нет, но эта проблема решается скриптом /etc/network/if-pre-up.d/ipset:
#!/bin/sh ipset -exist create blacklist hash :ip cat /var/local/blacklist/blacklist.txt | xargs -n1 ipset add -exist blacklist
Обязательно нужно дать и этому скрипту права на выполнение:
chmod +x /etc/network/if-pre-up.d/ipset
При следующей перезагрузке этот скрипт выполнится и восстановит список заблокированных IP.
Если забыть о серверах...
Окей, скажите вы, ну а что если я хочу получить все тот же удобный доступ к.onion , но без серверов - локально, на одном компьютере?
Нет проблем! В этом случае все даже проще. Хватить добавить эти три строчки в torrc:
AutomapHostsOnResolve 1 TransPort 9040 DNSPort 5300
Затем эти два правила для iptables:
iptables -t nat -A OUTPUT -p tcp -d 127.192.0.0/10 -j REDIRECT --to-port 9040 iptables -t nat -A OUTPUT -p udp --dport 53 -m string \ --hex-string "|056f6e696f6e00|" --algo bm -j REDIRECT --to-ports 5300
И можно проверять. Доступ к заблокированным сайтам настраивается по инструкции выше.
Ложка дёгтя
Несмотря на простоту и удобство этот подход наследует часть недостатков сети Tor.
На запрещенные сайты в сети вы заходите от имени выходных узлов , что даёт администраторам выходных узлов принципиальную возможность наблюдать ваш трафик и ваши пароли, если для доступа к целевому сайту не используется шифрование (должны быть https в начале адреса или зеленый замочек 🔒 в адресной строке).
Можно было бы понадеяться что администраторы таких узлов не будут следить за вами из соображений их собственного крепкого ночного сна, но...
Если вы заходите на какой-то сайт по незащещённому соединению, через Tor ли напрямую, нужно всегда иметь ввиду что ваши логины и пароли в принципе могут оказаться в папке с литерами на столке у человека в погонах.
Вот и все!
Что-то все еще непонятно? Что-то нужно исправить или что-то особенно понравилось? Напишите ниже в комментариях.
Желание обойти цензуру и блокировку сайтов, а так же запрещение использования VPN, введенную Роскомнадзором, теперь оказывается , или установленных в них расширений по смене IP-адресов. Если у вас уже имеется общеизвестный браузер «Тоr», то увы — это не означает, что вы застрахованы от вхождения не только на нужные вам, но запрещенные сайты, но и от блокировки работы самого браузера .
Нужно помнить, что Tor анонимизирует источник вашего трафика и шифрует весь трафик внутри сети Tor, но он не может зашифровать трафик между сетью Tor и адресом назначения . Если вы передаёте ценную информацию в Сети с помощью этого «секретного» браузера, вы должны быть так же внимательны, как и при использовании обычных браузеров — использовать HTTPS для собственных сайтов или другие способы шифрования и аутентификации.Тем не менее даже при таких мало обнадеживающих факторах секретности во время использовании этого браузера, его все равно на территории РФ теперь запрещают и блокируют. Если заметили, что ваш интернет-провайдер пытается блокировать Tor, то попытайтесь использовать нижеизложенный мною метод. Выход (хотя бы частичный) все же есть. Давайте рассмотрим способ…
Как можно обойти блокированиеTor Browser
1.Устанавливаем браузер и получаем мосты
Переходим на сайт и выполняем необходимые действия. Если у вас еще не установлен браузер Тor, то кликните на кнопку «Шаг 1» для закачки установочного файла. В специальных таблицах со ссылками для скачивания нужно выбрать подходящий для вышей ОС, а так же нужный вам язык. Есть и русский.
Затем, естественно, запустите файл и установите программу. Если у вас уже есть в наличии этот браузер, переходите на сайт по кнопке «Получите мосты « .
Важно! Для осуществления указанных ниже действий необходимо обновить Tor browser до последней версии.
При клике на третью кнопку, вам предоставят на этой же странице сайта маленькую инструкцию и советы по установке мостов в браузере. Мосты — это ретрансляторы Tor, которые позволяют обходить цензуру .
Итак, вы установили Tor браузер, получили мосты (ретрансляторы) после соответствующего перехода: 
Кликаем на кнопку «Просто дайте мне адреса мостов» и после прохождения капчи, выходим на страницу их получения.
2. Устанавливаем мосты в браузер Tor
А так же скриншотов показанных ниже.
1.Копирование мостов:
2. Вход в настройки браузера:
3. Устанавливаем галочку согласно инструкции, выбираем ручной режим и вставляем мосты в соответствующее окно настроек. Подтверждаем операцию нажатием кнопки «ОК» и завершаем работу по установке ретрансляторов. Вуаля!
Приятной работы вам, друзья! И свободного Интернета!
(Visited 1 times, 1 visits today)
Во многих офисах уже довольно давно блокируют социальные сети, видеосервисы, файлообменники и развлекательные сайты. Некоторые даже блокируют популярные сервисы-анонимайзеры. Таким способом работодатели пытаются заставить работников заниматься своими непосредственными обязанностями, а не тратить рабочее время на развлечения. В этой статье я пошагово расскажу, как нам, обычным пользователям, обойти эту блокировку и наслаждаться неограниченным доступом в Интернет.
На самом деле все уже придумали за нас и мы будем использовать готовое решение.
Знакомьтесь – это Tor.
Tor - это система, позволяющая устанавливать анонимное сетевое соединение, которая организует передачу данных в зашифрованном виде. С помощью Tor пользователи могут сохранять анонимность при посещении веб-сайтов, публикации материалов, отправке сообщений и при работе с другими приложениями, использующими протокол TCP. Технология Tor также обеспечивает защиту от механизмов анализа трафика, которые ставят под угрозу не только анонимность пользователя, но также конфиденциальность данных.
Система Tor была создана в исследовательской лаборатории Военно-морских сил США по федеральному заказу. В 2002 году эту разработку решили рассекретить, а исходные коды были переданы независимым разработчикам, которые создали клиентское программное обеспечение и опубликовали исходный код под свободной лицензией, чтобы все желающие могли проверить его на отсутствие багов и бэкдоров.
С теорией на этом закончим и перейдем к установке и настройке системы.
Заходим на страничку загрузки системы Tor , где выбираем вариант с русским интерфейсом и скачиваем файл установки. Размер файла около 25 мегабайт.
Запускаем скаченный файл, выбираем место установки и жмем кнопку Extract
После завершения установки никаких новых ярлыков у нас на рабочем столе не появится, поэтому открываем каталог, в который мы ставили систему, и запускаем из него файл Start Tor Browser.exe
Откроется окно программы в котором будет отображаться процесс подключения
Если в вашей сети доступ в Интернет осуществляется через прокси сервер, то процесс подключения у вас остановится на этапе создания шифрованного подключения
Жмём на кнопку Настройки
В появившемся окне переходим на вкладку Сеть
Настраиваем все, как показано на рисунке, указав свой адрес прокси и порт
Жмем на кнопку Выход
Заново запускаем Start Tor Browser.exe
Ждем пока произойдет подключение к системе Tor
После этого у вас откроется встроенный в систему браузер Firefox, через который вы и сможете анонимно посещать любые сайты
