Как обойти фильтры провайдера

Обходим интернет фильтры в школе/ университете/ на работе.

ПК, смартфон на Android и iOs
ОС и прошивка: Windows, Mac OSX, Linux, Android, iOs.

Описание проблемы:
Доброго времени суток.
Хочу поделить способом обхода защиты/ фильтров/ реестра.
Способ прост и давно известен, но некоторым людям не очень интересно читать тонну информации ради одного способа.
Столкнулся я с проблемой не так давно, когда начали блокировать сайты по реестру, а в университете сделали фильтры интернет-контента.

Предпринимались действия:

Вам потребуется устройство с Android, iOs, Windows Phone, Windows, MacOS, Linux, BSD и вообще что угодно, лишь бы поддерживало VPN-соединение и прокси.
Конкретно мы ищем программы с VPN, вы можете выбрать на свой вкус в AppStore или Google play, но я покажу две проверенные программы.
Первая программа называется Hotspot shield
Качаем:
ГуглПлей
AppStore
программа работает очень криво и надеяться на неё не очень разумно, но VPN-сервера работают часто и большинство сайтов снова становятся юзабильны.
Вторая программа называется hideman vpn программа работает замечательно, но ограничение на 5 часов в неделю. Для айОс ищите сами.

Как обойти блокировку VPN соединения провайдером?

VPN – это удобный и надежный инструмент, который оказывает пользователям помощь в получении доступа к необходимому контенту. При использовании этого продукта можно обойти геоблокировку, регулировку скорости и обеспечить максимально высокий уровень надежности для сохранности личных данных.

Самым важным является то, что VPN Сервис не дает даже провайдеру провести процедуру отслеживания трафика. Ниже будет описано, что делать, если заблокировали ВПН, и как это могло произойти.

Как провайдер блокирует интернет, и какие способы применяет

На практике специалистами было выделено четыре методики, применяемые провайдерами.

Закрытие IP-адреса

Этот сценарий относится к наиболее вероятному и часто применяемому способу. Это связано с тем, что поставщик соединения знает конечную точку доступа используемого ВПН. Другими словами, ему доступны два IP-адреса: пользователя и применяемого сервера. В этой ситуации он может осуществить закрытие через фаервол и закрыть подключение к серверу.

Проверка наличия подключения происходит при рассмотрении потока данных: если он зашифрован, то применяется ВПН. Дополнительно при просмотре может отсутствовать отображение разрешения DNS. При наличии двух факторов, поставщик поймет, что происходит обход блокировки.

Блокировка порта

Как обойти запрет, если провайдер блокирует порты? Ответ на этот вопрос постепенно набирает актуальность. Поставщик связи видит не только все адреса и серверы, но и используемые порты. Он может посчитать один из них не слишком существенным и провести его исключение из списка активных. При этом пользователь теряет доступ к VPN.

Чащ всего запрету подвергаются следующие варианты позиций:

1194;
протокол IPSec;
UDP 4500;
протокол L2TP.

Их закрытие станет причиной исчезновения подключения к сервису для обхода запретов.

Применение DPI и обрубание соединения

Инструмент DPI имеет расшифровку Deep Packet Inspection. Он представляет собой особую методику для реализации анализа сети. С ее помощью провайдер может провести подробное изучение трафика.

Если клиент будет применять шифрование OpenVPN, как это часто происходит, то оно будет сильно уязвимо к возможности взлома. Это связано с наличием особой подписи протокола. При обнаружении обходных действий провайдер блокирует трафик при помощи фаервола или просто останавливает его.

Оценка пакетов GRE

Благодаря наличию высокой скорости соединения, клиенты часто применяют протокол PPTP. Однако, этот вариант не имеет высокого уровня безопасности, поскольку его шифрование данных может подвергаться хакерским атакам. Провайдеры давно научились его дешифровывать и просматривать пакеты GRE.

Любые отклонения от стандарта являются поводом для подозрения. Такие пакеты несложно выявить, что приведет, в итоге, к ограничению подключения.

Что делать, если провайдер блокирует VPN

Все рассмотренные выше способы обнаружения и проведения закрытия доступа имеют свои пути решения.

Если произошла блокировка IP-адреса, то самый простой вариант в этом случае – создать новое подключение к свободному серверу VPN. Этот способ позволит получить новый IP-адрес, не подвергшийся воздействию фаервола поставщика. Однако, может случиться так, что все адреса будут заблокированы. При таком раскладе связь не получится возобновить, но данный исход событий маловероятен.
Блокировку можно обойти при помощи порта 443. Это классический вариант для соединения HTTPS, и провайдер не сможет провести его блокировку, поскольку подобные действия могут перекрыть доступ практически ко всем ресурсам в сети. К примеру, в продуктах, разрабатываемых нашей компанией Alt VPN, применяется порт 443, что обеспечивает высокий уровень безопасности.
Если оператор применит инструмент DPI, то в этом сценарии поможет только обфускация. Данный способ поможет скрыть классический трафик OpenVPN и сделает его похожим на HTTPS. Это можно сделать самостоятельно или воспользоваться услугами организации, если было принято решение купить VPN. Клиентам компании Alt VPN предоставляется возможность для получения консультации от специалистов при появлении прекращения соединения в России.
В данной ситуации решение выглядит максимально просто и логично. Пользователю стоит отказаться от использования протокола PPTP. Организация Alt VPN предлагает своим клиентам пять разновидностей пакетов услуг. Выбор можно осуществить самостоятельно или воспользовавшись помощью сотрудников компании.

Все эти решения могут не понадобиться, если пользоваться качественными и безопасными приложениями для обхода запретов. Для этого стоит обратить внимание на платные пакеты, не влияющие на объем потока и обеспечивающие высокий уровень шифрования.

Какие возможности для блокировки демонстрирует оператор

Некоторые клиенты применяют соединение с множеством узлов или используют двойные версии. Это определенно повышает уровень безопасности шифрования. Заблокировать подобную конструкцию оператор все равно сможет. Для этого ему стоит только зафиксировать адрес первого сервера при подключении и ограничить его использование. В итоге, вся цепочка будет разрушена.

Специально заниматься наблюдением за одним клиентом поставщики хостинга не будут. Это возможно только в случае, если на конкретного пользователя будет обращено пристальное внимание.

Ограничение доступа к серверу не дает возможности для изучения уже реализованного потока сведений, поскольку он подвергается процессу шифрования. Взлом шифра достаточно сложен, да и не все компании будут тратить на это время и средства. Снятие кодировки возможно только при использовании протоколов PPTP. Этот вариант обладает низкой степенью безопасности. Все данные интернет-серфинга могут стать открытыми, и их вполне можно использовать против клиента.

В некоторых сценариях можно применять программу Tor для снятия ограничения, но это действие носит временный характер. При его применении скорость становится очень низкой. При этом поставщик вправе установить блокировку, учитывая, что отображается адрес Tor, который можно поместить в список нежелательных подключений. Все это заставляет клиентов искать другие надежные пути для получения полной загрузки для всех ресурсов.

Какие причины могут послужить для блокировки

Если провайдер блокирует L2TP, а именно, протокол для частных виртуальных сетей, это может быть обычная ошибка или недоразумение. Подобные проблемы решаются обычным звонком в службу поддержки для восстановления соединения. Однако, в некоторых ситуациях для подобных действий есть веские основания.

Оператор может подозревать клиентов в участии в противоправных действиях. Он может решить, что шифрование необходимо для входа в незаконные ресурсы или получения опасной информации. В большинстве случаев, такой подход становится только предлогом.
Скачивание пиратских файлов или торрентов запрещено на законодательном уровне. Поскольку установлены ограничения по сервисам, то некоторые люди применяют обходные пути. Это может послужить причиной ограничения трафика.
Пропускная способность устанавливается продавцом сети для получения прибыли. Если клиент пытается обойти этот факт для увеличения объемов, то это может сильно не понравиться представителям провайдера.
В последнее время часто преграды устанавливаются на законодательном уровне из-за применения санкций в отношении государства или конкретного сервиса, для защиты граждан от ложной информации или при выявлении данных опасного содержания в источнике. Дополнительно правительство подвергает цензуре информационное наполнение некоторых страниц, при этом они могут не просто ограничить вход, но и заблокировать VPN для уверенности, что веб-сайты не будут посещаться.
Сокрытие данных может просто не понравиться продавцу, поскольку при их использовании, он может получить прибыль от различных рекламодателей. Дополнительно такие пользователи становятся неконтролируемыми, что делает их потенциально опасными.

Поскольку операторы могут применять блоки на свое усмотрение, у клиентов и возникает вопрос о том, как обойти блокировку VPN-провайдером. Обход ограничения поможет получить полноценный интернет-серфинг и расширенный доступ к сведениям. Для того, чтобы реализовать этот процесс, можно воспользоваться услугами профессионалов.

Какое решение предлагает компания AltVPN

Если беспокоит вопрос, как обойти блокировку через ВПН, то стоит воспользоваться помощью профессионалов. На сайте нашей компании Alt VPN можно скачать VPN бесплатно в качестве ознакомления с демо-версией основного продукта.

Ключевым направлением организации является обеспечение клиентов защитой высокого класса и предоставления надежного сервиса для защиты личных данных и разблокировки большого объема ресурсов в интернет-пространстве.

При использовании предлагаемых пакетов можно получить ряд серьезных преимуществ:

шифрование параметров на высоком уровне;
высокая скорость передачи данных;
пропускная способность не лимитируется;
приложение удобно в использовании за счет интуитивно понятного интерфейса;
работа инструмента может быть реализована на устройстве с любым программным обеспечением;
при покупке представляется 80 серверов в 30 различных странах.

Удобство использования пакетных услуги нашей компании заключается в том, что клиент получает возможность ее установки на любом устройстве. Это обеспечивает свободу перемещения без ущерба для поиска данных и присоединения к сервисам.

Пользователи могут выбрать подписку с максимально привлекательными параметрами по стоимости. Это стало возможным, благодаря наличию пакетов с разной длительностью действия. Можно приобрести подписку на год, на полгода или на один месяц. Все клиенты получают право на консультации и оказание помощи в случае возникновения проблем. Поддержка оказывается в начале покупки и на протяжении всего периода действия пакета.

Выборочный обход блокировок на маршрутизаторах с прошивкой Padavan и Keenetic OS

Инструкций с разными вариантами обхода блокировок Интернет-ресурсов опубликовано огромное количество. Но тема не теряет актуальности. Даже всё чаще звучат инициативы на законодательном уровне заблокировать статьи о методах обхода блокировок. И появились слухи, что Роскомнадзор получит ещё одну пачку денег налогоплательщиков на «более лучшие» блокировки. Опытные пользователи ничего нового и полезного из статьи не узнают. А вот другие получат готовые пошаговые инструкции для простого и эффективного выборочного обхода блокировок на популярных маршрутизаторах с прошивкой Padavan и Keenetic.

Содержание

Введение

Я около двух лет использовал вариант обхода блокировок от Zolg. На нём основываются многие инструкций в сети. Моя в том числе.

Всё было хорошо, но «лучшее всегда враг хорошего». Во-первых, некоторые новые программы стали слишком «умными» и резолвят домены собственными методами, минуя DNS-сервер маршрутизатора. Это не позволяет dnsmasq на маршрутизаторе добавить адрес во множество ipset для разблокировки и приводит к закономерному результату — ресурс остаётся заблокированным. В Android 9 вообще появилась штатная поддержка DNS-over-TLS, т.е. этот метод обхода блокировки перестаёт работать (если другое устройство ранее не обращалось к dnsmasq). Во-вторых, обновление всего списка доменов из antizapret приводит к непредсказуемым результатам каждый раз. В список могут попасть домены, которые в реальности не заблокированы, и работа которых важна через основной канал. Нужно постоянно быть начеку и руками править сгенерированные файлы. В-третьих, надоело «таскать за собой» огромный список доменов с десятком тысяч казино и подобные, которые просто не нужны. Со временем я понял, что мне нужен лишь небольшой конкретный список заблокированных ресурсов.

Так что я год уже использую немного изменённый метод разблокировки, которым полностью удовлетворён:

Простота и лёгкость управления (после настройки).
Полный контроль над тем, какие ресурсы нужно разблокировать.
Минимальные требования к ресурсам процессора и ОЗУ маршрутизатора.
Широкий охват нюансов при обходе блокировок.

Основа обхода блокировок та же — сеть Tor. Её использование обусловлено двумя простыми факторами— бесплатность, и вероятность того, что Tor будет заблокирован в России, близка к нолю, в отличие от любого VPN-сервиса. Tor является фундаментом наркотрафика в России от среднего звена до самых низов. Блокировка Tor приведёт к поиску новых инструментов для рынка и снижению уровню анонимности, что повлечёт за собой успешную активизацию работы локальных правоохранительных органов. В конечном итоге это, как вирус, начнёт негативно влиять на верхнее звено. Учитывая последние удивительные новости о связях высших должностных лиц государства с глобальным наркотрафиком в Россию, блокировка Tor в России — это просто табу, хоть она и тривиальная. Ни Роскомнадзор, какие бы миллиарды не выделялись этому ведомству, ни один суд в России не имеют разрешения «сверху» для блокировки Tor. И это уже даже никого не удивляет и не пугает, хоть Россия просто утопает в наркотиках (любой школьник знает, что такое «дакнет», и через 30 минут имеет фактическую возможность в любом городе с населением от 10 тыс. человек беспрепятственно получить любые наркотики практически в любых количествах — такая злая правда жизни). При текущем режиме вероятность блокировки сети Tor ниже, чем вероятность блокировки сайта музея Эрмитаж.

Приведённую инструкцию легко адаптировать для маршрутизаторов с OpenWrt. Также, небольшими изменениям легко заменить Tor на OpenVPN.

Как вы будете управлять обходом блокировок после настройки?

Всё очень просто. У вас есть файл /opt/etc/unblock.txt — простой список для разблокировки. Вы можете разблокировать домен, IP-адрес, диапазон адресов или CIDR. Одна строка — один элемент. Допускаются пустые строки, и можно использовать символ # в начале строки для игнорирования.

После редактирования этого файла вы просто выполняете команду для применения новой конфигурации:

Все ресурсы из unblock.txt разблокируются без необходимости перезагружать маршрутизатор.

Принцип работы

При инициализации маршрутизатора создаётся пустое множество IP-адресов ipset с именем unblock.
В брандмауэр добавляется правило перенаправления всех пакетов с адресатами из unblock в сервис Tor.
Запускается сервис Tor в режиме прозрачного прокси.
Запускается специальный скрипт unblock_ipset.sh, который резолвит все домены из unblock.txt и добавляет их IP-адреса в множество unblock. IP-адреса, диапазоны и CIDR из этого файла тоже добавляются в unblock.
Запускается dnsmasq с дополнительным конфигурационным файлом unblock.dnsmasq, в котором указано добавление IP-адресов доменов из unblock.txt в множество unblock при резолвинге.
cron с определенной периодичностью запускает unblock_ipset.sh, чтобы частично компенсировать возможные случаи с нюансами.
При необходимости все домены из unblock.txt (и только они) резолвятся через dnscrypt-proxy, если провайдер фильтрует DNS.

Настройка маршрутизатора с прошивкой Padavan

У вас должен быть маршрутизатор с установленной прошивкой Padavan и уже настроенным менеджером пакетов Entware. В Windows для подключения подключения к маршрутизатору по SSH вы можете использовать клиент PuTTY.

Убедитесь, что у вас используется Entware, а не устаревший Entware-ng. Посмотрите содержимое папки /opt/var/opkg-lists. Там будет присутствовать файл entware или entware-ng. Во втором случае вам нужно обновить прошивку Padavan вашего маршрутизатора до последней версии и заново установить менеджер пакетов Entware. Только после этого приступайте к пошаговой инструкции.

Как показали отзывы, в основном проблемы возникают у тех, у кого Entware настроен неверно изначально (т.е. не загружаются скрипты из init.d) во внутренней памяти маршрутизатора. Если у вас Xiaomi Mi Router 3 или 3G, и вы не уверены, что Entware во внутренней памяти у вас работает корректно (автоматический запуск), то просто всё настройте заново. Берёте PROMETHEUS. Обновляет скрипт (1). Обновляете исходный код (2). Собираете и прошиваете самую актуальную прошивку (4). Сбрасываете настройки прошивки (NVRAM и хранилище файлов) — Дополнительно > Администрирование > Настройки. Настраиваете доступ в Интернет на маршрутизаторе и включаете SSH. Выполняете в PROMETHEUS Firmware > Форматирование RWFS. Выбираете Дополнительно > Администрирование > Настройки > Монтировать файловую систему в R/W раздел > UBIFS. Перезагрузите маршрутизатор. Все актуальные скрипты запускаа Entware из внутренней памяти будут прописаны автоматически, и всё будет работать как часы.

Для тестов я использовал популярный Xiaomi Mi Router 3G (Entware установлен во внутреннюю память) с самой свежей прошивкой — 32a93db. Всё будет работать даже на легендарном малыше WT3020 AD/F/H за 10$.

1. Установка необходимого ПО на маршрутизаторе

2. Инициализация ipset, создание множества IP-адресов unblock (start_script.sh)

Подключите необходимые модули и создайте пустое множество адресов с именем unblock при загрузке маршрутизатора. Для этого откройте в редакторе файл /etc/storage/start_script.sh:

Добавьте в конце:

Чтобы вставить из буфера, используйте Shift+Insert, сохранить — F2, выйти — F10.

При желании вы можете отредактировать файл start_script.sh через веб-интерфейс маршрутизатора — «Дополнительно» > «Персонализация» > «Скрипты» > «Выполнить перед инициализацией маршрутизатора». После редактирования нажмите «Применить».

3. Настройка Tor

Удалите содержимое конфигурационного файла Tor:

Откройте файл конфигурации Tor:

Вставьте (Shift+Insert) содержимое:

Замените при необходимости 192.168.0.1 на внутренний адрес вашего маршрутизатора (LAN). Краткое описание конфигурации:

Исключить выходные узлы: Россия, Украина, Армения Киргизия, Беларусь.
Повесить «прозрачный» прокси на адрес 192.168.0.1, порт 9141.
Запретить быть точкой выхода.

4. Список доменов (и не только) для обхода блокировки (unblock.txt)

unblock.txt — простой список для разблокировки. Вы можете разблокировать домен, IP-адрес, диапазон или CIDR. Одна строка — один элемент. Пустые строки (в том числе с пробелами и табуляциями) игнорируются. Можно использовать символ # в начале строки для игнорирования.

Создайте файл /opt/etc/unblock.txt:

Каждая строка может содержать доменное имя, IP-адрес, диапазон или CIDR. Можно использовать символ # для комментирования строк.

5. Скрипт для заполнения множества unblock IP-адресами заданного списка доменов (unblock_ipset.sh)

Создайте скрипт /opt/bin/unblock_ipset.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

Скрипт достаточно простой, вот суть его работы… Ждём, когда заработает резолвинг домена google.com (если этого не сделать, то при загрузке маршрутизатора не будет заполнено множество unblock, т.к. маршрутизатор будет находиться ещё в процессе инициализации). Читаем строки в файле unblock.txt. У прочитанных строк автоматически удалены пробелы и табуляция в начале и в конце. Пропускаем пустые строки. Пропускаем строки, которые начинают на символ #. Ищем в строке CIDR. Если CIDR найден, то добавляем его в unblock. Ищем в строке диапазон. Если он найден, то добавляем его в unblock. Ищем в строке IP-адрес. Если IP найден, то добавляем его в unblock. Резолвим строку через dig. Все IP-адреса результата добавляем в unblock.

6. Скрипт для формирования дополнительного конфигурационного файла dnsmasq из заданного списка доменов (unblock_dnsmasq.sh)

Создайте скрипт /opt/bin/unblock_dnsmasq.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

Скрипт достаточно простой, вот суть его работы… Последовательно читаем строки из /opt/etc/unblock.txt. У прочитанных строк автоматически удалены пробелы и табуляция в начале и в конце. Пропускаем пустые строки. Пропускаем строки, которые начинают на #. Пропускаем строки, которые содержат IP-адрес (IP, диапазон, CIDR), т.е. нас интересуют только строки с именами доменов. В файл /opt/etc/unblock.dnsmasq вносим строки вида «ipset=/доменное_имя/unblock». Это означает, что после определения IP-адресов конкретного домена они будут автоматически добавлены во множество unblock.

Обязательно запустите скрипт для генерация файла unblock.dnsmasq:

Проверьте, что файл unblock.dnsmasq создался:

7. Скрипт ручного принудительного обновления системы после редактирования списка доменов (unblock_update.sh)

Создайте скрипт /opt/bin/unblock_update.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

8. Скрипт автоматического заполнения множества unblock при загрузке маршрутизатора (S99unblock)

Создайте скрипт /opt/etc/init.d/S99unblock:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

9. Перенаправление пакетов с адресатами из unblock в Tor (post_iptables_script.sh)

Откройте в редакторе файл /etc/storage/post_iptables_script.sh:

Добавьте в конце:

При желании вы можете отредактировать файл post_iptables_script.sh через веб-интерфейс маршрутизатора — «Дополнительно» > «Персонализация» > «Скрипты» > «Выполнить после перезапуска правил брандмауэра». После редактирования нажмите «Применить».

В этот же файл вы можете добавить (это необязательно) перенаправление всех запросов на внешний порт 53 на себя. Это нужно, чтобы клиенты в локальной сети не использовали сторонние DNS-сервисы. Запросы будут идти через штатный DNS-сервер.

Замените при необходимости 192.168.0.1 на внутренний адрес вашего маршрутизатора (LAN).

10. Подключение дополнительного конфигурационного файла к dnsmasq

Нам необходимо подключить созданный файл unblock.dnsmasq к dnsmasq. Для этого откройте в редакторе файл /etc/storage/dnsmasq/dnsmasq.conf:

Добавьте в конце:

Если хотите (это необязательно), можете добавить дополнительный сервер для резолвинга и надёжности:

При желании вы можете отредактировать файл dnsmasq.conf через веб-интерфейс маршрутизатора — «Дополнительно» > «LAN» > «DHCP-сервер» > «Пользовательский файл конфигурации dnsmasq.conf». После редактирования нажмите «Применить».

Читать:

Как сделать рассылку в outlook чтобы адресаты видели только себя

11. Добавление задачи в cron для периодического обновления содержимого множества unblock

Это дополнительная страховка на тот случай, если программы/устройства используют свой собственный метод резолвинга, а IP-адрес домена изменился. Всё, что нужно сделать, это с желаемой периодичностью запускать скрипт unblock_ipset.sh. Для примера будем запускать каждый день в 6 утра.

Замените в файле конфигурации cron имя root на admin:

Откройте в редакторе файл /opt/etc/crontab:

Добавьте в конце:

При желании вы можете закомментировать все остальные шаблонные задачи. Вот, как будет выглядеть ваш файл crontab:

12. Перезагрузка маршрутизатора

После перезагрузки откройте в браузере сайт check.torproject.org (он должен быть добавлен в unblock.txt). Если вы всё сделали верно, то вы увидите надпись «Congratulations. This browser is configured to use Tor.»:

Настройка маршрутизатора с Keenetic OS

У вас должен быть маршрутизатор Keenetic/Zyxel с уже настроенным менеджером пакетов Entware (OPKG). Например, вот список некоторых маршрутизаторов, которые поддерживают Entware: Keenetic II, Keenetic III, Extra, Extra II, Giga II, Giga III, Omni, Omni II, Viva, Ultra, Ultra II, Omni (KN-1410), Extra (KN-1710), Giga (KN-1010), Ultra (KN-1810), Viva (KN-1910), DSL (KN-2010), Duo (KN-2110). Инструкцию по настройке Entware можно посмотреть тут (до 10 пункта).

Если ранее (с прошивкой младше 2.07) вы уже добавляли поддержку Entware, то убедитесь, что у вас используется не устаревший Entware-ng.

Обязательно включите «Модули ядра подсистемы Netfilter» — Общие настройки > Изменить набор компонентов. Если его нет в списке доступных, то пробуйте установить сначала компонент «Протокол IPv6». Если после этого не появляется, то пробуйте без него, но высокая вероятность, что у вас не будет работать разблокировка по диапазону и CIDR (т.к. не будет поддержки множества hash:net).

Для тестов я использовал Keenetic Ultra (KN-1810) с самой свежей прошивкой — 2.14.C.0.0-4.

Важное замечание. Вам придётся отключить штатный DNS-сервер в системе, мы будем использовать dnsmasq вместо него. Вы потеряете возможность назначать DNS-сервисы (Яндекс.DNS/SkyDNS/AdGuard DNS) индивидуально для клиентов, но без проблем сможете использовать их глобально через настройки dnsmasq при необходимости.

1. Установка необходимого ПО на маршрутизаторе

mc — файловый менеджер Midnight Commander. Он нужен лишь из-за удобного редактора mcedit. Если вы привыкли пользоваться другим текстовым редактором, то mc можно не устанавливать.
tor — сервис Tor.
tor-geoip — база гео-IP для Tor.
bind-dig — DNS-клиент (аналог nslookup и host).
cron — планировщик заданий.
dnsmasq-full — DNS-сервер.
ipset и iptables — консольные утилиты ipset и iptables (возможно, они уже есть в системе и не нужны, я добавил их для подстраховки).

2. Инициализация ipset, создание множества IP-адресов unblock (100-ipset.sh)

Проверьте, что в системе вашего маршрутизатора есть поддержка множества hash:net (как оказалась, не во всех маршрутизаторах Keenetic она есть):

Если команда никаких ошибок и сообщений не выдала, значит поддержка есть, и просто следуйте инструкции дальше. В противном случае (есть ошибка) в следующем скрипте вам нужно заменить hash:net на hash:ip. При этом вы потеряете возможность разблокировки по диапазону и CIDR.

Создайте пустое множество адресов с именем unblock при загрузке маршрутизатора. Для этого создайте файл /opt/etc/ndm/fs.d/100-ipset.sh:

Вставьте (Shift+Insert) содержимое:

Чтобы вставить из буфера, используйте Shift+Insert, сохранить — F2, выйти — F10.

Дайте права на исполнение:

3. Настройка Tor

Удалите содержимое конфигурационного файла Tor:

Откройте файл конфигурации Tor:

Вставьте (Shift+Insert) содержимое:

Исключить выходные узлы: Россия, Украина, Армения Киргизия, Беларусь.
Повесить «прозрачный» прокси на адрес 192.168.0.1, порт 9141.
Запретить быть точкой выхода.

4. Список доменов (и не только) для обхода блокировки (unblock.txt)

Создайте файл /opt/etc/unblock.txt:

5. Скрипт для заполнения множества unblock IP-адресами заданного списка доменов (unblock_ipset.sh)

Создайте скрипт /opt/bin/unblock_ipset.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

6. Скрипт для формирования дополнительного конфигурационного файла dnsmasq из заданного списка доменов (unblock_dnsmasq.sh)

Создайте скрипт /opt/bin/unblock_dnsmasq.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

Скрипт достаточно простой. Последовательно читаем строки из /opt/etc/unblock.txt. У прочитанных строк автоматически удалены пробелы и табуляция в начале и в конце. Пропускаем пустые строки. Пропускаем строки, которые начинают на #. Пропускаем строки, которые содержат IP-адрес (IP или CIDR), т.е. нас интересуют только строки с именами доменов. В файл /opt/etc/unblock.dnsmasq вносим строки вида «ipset=/доменное_имя/unblock». Это означает, что после определения IP-адресов конкретного домена они будут автоматически добавлены во множество unblock.

Обязательно запустите скрипт для генерация файла unblock.dnsmasq:

Проверьте, что файл unblock.dnsmasq создался:

7. Скрипт ручного принудительного обновления системы после редактирования списка доменов (unblock_update.sh)

Создайте скрипт /opt/bin/unblock_update.sh:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

8. Скрипт автоматического заполнения множества unblock при загрузке маршрутизатора (S99unblock)

Создайте скрипт /opt/etc/init.d/S99unblock:

Вставьте (Shift+Insert) содержимое:

Дайте права на исполнение:

9. Перенаправление пакетов с адресатами из unblock в Tor (100-redirect.sh)

Для этого создайте файл /opt/etc/ndm/netfilter.d/100-redirect.sh:

Вставьте (Shift+Insert) содержимое:

Если вы в шаге 2 использовали hash:ip, а не hash:net, то замените hash:net на hash:ip. Фактически мы дополнительно дублируем функцию создания множества unblock из 2 шага. Это нужно для подстраховки, если скрипты из fs.d ещё не начали запускаться, а скрипты netfilter.d уже запускаются. Ничего страшного, если unblock уже было создано ранее, команда просто будет проигнорирована.

Замените при необходимости 192.168.0.1 на внутренний адрес вашего маршрутизатора (LAN).

Дайте права на исполнение:

10. Настройка dnsmasq и подключение дополнительного конфигурационного файла к dnsmasq

Удалите содержимое конфигурационного файла dnsmasq:

Откройте файл конфигурации dnsmasq:

Вставьте (Shift+Insert) содержимое:

Замените при необходимости 192.168.0.1 на внутренний адрес вашего маршрутизатора (LAN).

11. Добавление задачи в cron для периодического обновления содержимого множества unblock

Откройте в редакторе файл /opt/etc/crontab:

Добавьте в конце:

12. Отключение штатного DNS-сервера и перезагрузка маршрутизатора

Подключитесь к CLI маршрутизатора Keenetic (порт 23 для Telnet и 22 для SSH, если в системе добавлен компонент «Сервер SSH»).

Встроенный в прошивку DNS-сервер будет выключен, и вместо него будет использоваться dnsmasq из состава Entware. Маршрутизатор при загрузке проверяет, подмонтирована ли папка opt (есть ли флешка/диск с Entware). Если есть, то штатный DNS-сервер не используется. Если нет, используется. Т.е. вынув флешку и перезагрузив маршрутизатор, у вас всё будет работать, как и раньше (перед настройкой).

Основные методы диагностики ошибок после настройки

Если проверка с сайтом check.torproject.org (он должен быть добавлен в unblock.txt) проходит, но для других ресурсов продолжает открываться заглушка от провайдера (или не открываются), скорее всего, провайдер вмешивается в DNS-трафик, подменяя ответы — вам нужно сделать дополнительный обход фильтрации DNS-запросов.

Если после настройки что-то работает не так, как нужно, используйте простые команды для определения проблемного этапа.

Отобразите содержимое множества unblock:

Если система сообщит, что такого множества нет, то ошибка на этапе 2 или вы не включили модуль Netfilter в системе (в случае с Keenetic).

Если множество окажется пустым, то не отработал скрипт unblock_ipset.sh, который в свою очередь должен быть запущен стартовым скриптом S99unblock. Запустите этот скрипт unblock_ipset.sh вручную. Если множество заполнилось, то ошибка на этапе 8. Если скрипт не может выполниться (скорее всего, ожидает резолвинга google.com), то ошибка где-то на стороне DNS-сервера, возможно, на этапе 10 или 6.

Проверьте наличие редиректа в iptables:

Если его нет, то ошибка на этапе 9.

Если вообще все сайты не работают, т.е. не работает DNS, ошибка где-то в этапе 6 или 10. Возможно, на этапе 9.

Если все сайты из unblock.txt не работают (превышено время ожидания), но все другие работают, то проблема где-то на стороне Tor, ошибка на этапе 3.

Дополнительный обход фильтрации DNS-запросов провайдером

Если провайдер вмешивается в DNS-трафик, подменяя ответы для заблокированных ресурсов, это очень просто обойти. Для этого мы будем использовать dnscrypt-proxy. При желании и опыте вы легко можете заменить dnscrypt на stubby (DNS over TLS).

dnscrypt будет использоваться только для тех доменов, которые перечислены в unblock.txt. Все остальные запросы будут идти через штатные DNS-серверы.

Если вы уверены, что ваш провайдер не фильтрует DNS-запросы, то эту дополнительную настройку делать не нужно.

У вас уже должен быть настроен описанный выше обход блокировок. Нижеследующие настройки идентичны для Padavan и Keenetic OS.

Установите дополнительное ПО на маршрутизаторе:

Откройте файл конфигурации dnscrypt-proxy:

Найдите параметры listen_addresses, fallback_resolver, cache и измените их:

77.88.8.8:1253 — это адрес DNS-сервера Яндекс с нестандартным портом. Он является резервным на тот случай, если у dnscrypt-proxy возникнут какие-то проблемы.

Убедитесь, что dnscrypt-proxy работает (вы должны в ответ увидеть список IP-адресов):

Откройте в редакторе скрипт /opt/bin/unblock_ipset.sh:

Замените содержимое на:

Мы внесли небольшое изменение — теперь dig для резолвинга использует не штатный DNS-сервер, а dnscrypt-proxy с портом 9153.

Откройте в редакторе скрипт /opt/bin/unblock_dnsmasq.sh:

Замените содержимое на:

Мы внесли небольшое изменение — теперь при генерации файла unblock.dnsmasq дополнительно вносятся строки вида «server=/доменное_имя/127.0.0.1#9153». Это означает, что резолвинг доменов из списка будет происходить через dnscrypt-proxy.

Готово. Все сложные настройки позади. Теперь вы будете только редактировать список unblock.txt при необходимости, добавляя или удаляя из него домены или IP-адреса для разблокировки, и командой unblock_update.sh активировать внесённые изменения.

UPDATE 01.04.2019. Часто приходят личные сообщения по статье с типовыми вопросами. Отвечу тут на самые распространённые.

Как сделать доступными сайты доменной зоны .onion?

В torrc добавить:

Для доступа ко всем доменам зоны onion добавьте в dnsmasq.conf:

Если вы не хотите открывать доступ ко всем доменам зоны onion, а лишь к определённым, то в dnsmasq.conf добавьте записи следущего вида:

Как сделать обход блокировок для клиентов VPN-сервера, запущенного на маршрутизаторе?

В torrc строку с TransPort замените на:

Добавьте дополнительный редирект с необходимымм интерфейсом (ИНТЕРФЕЙС — интерфейс VPN-сети):

Как школьники обходят интернет фильтры

Для доступа к запрещённым сайтам учащиеся используют специальные программы и несовершенства контент-фильтров. Мы рассмотрим девять способов обхода блокировок в школьной сети и дадим советы, как их предотвратить.

Учебные учреждения законодательно обязаны фильтровать интернет-трафик. Так, для соответствия 436-ФЗ и 114-ФЗ школы устанавливают контент-фильтры. С одной стороны они позволяют оградить учащихся от опасного контента, с другой — помогают проходить прокурорские проверки и избегать штрафов.

SkyDNS контент-фильтр для школ

Однако наличие в школе сервиса интернет-фильтрации — не панацея. Школьники используют различные лазейки для обхода контент-фильтров. Это позволяет учащимся заходить на сайты с порнографией, наркотиками и прочим запрещённым контентом.

Рассмотрим способы обхода блокировок и методы противодействия им.

1. Обход блокировки сайтов через прокси-сервер

Прокси-сервер — это посредник между компьютером пользователя, откуда поступает запрос и системой интернет-серверов. Основное назначение прокси — это смена IP-адреса. Смена IP позволяет обойти ограничения и получить доступ к запрещённым сайтам.

Настроить работу через прокси можно с помощью одного браузера. К примеру, CGI прокси сделаны в виде простых сайтов, где можно ввести URL-адрес заблокированных ресурсов. Другие прокси-сервера обладают расширенным функционалом. Они позволяют выбрать страну из которой будет осуществляться доступ, указать тип прокси и уровень анонимности.

Также задать работу через прокси-сервер можно в настройках компьютера. Для этого в операционной системе Windows надо изменить настройки сети. Для автоматической настройки указывается адрес сценария, а для ручной — адрес и порт.

Большинство контент-фильтров блокируют работу анонимайзеров и прокси. Но под запрет часто попадают только самые популярные. К примеру, прокси из азиатского региона помогают обходить не только «Великий китайский фаерволл», но и ограничения по всему миру.

Решение

Работа контент-фильтра только по «белому» списку предотвратит обход блокировки через CGI прокси и аналоги. Учащиеся попросту не смогут зайти на сайты, которые находятся вне «белого» списка.
Чтобы исключить изменения настроек сети надо ограничить права для учётных записей пользователей. Без прав администратора учащиеся не смогут изменить настройки сети.

2. Смена DNS-сервера

DNS расшифровывается как Domain Name System. В переводе — система доменных имён. В этой системе каждому доменному имени соответствует IP адрес сайта. В основном провайдеры блокируют сайты на уровне запроса к доменному имени.

Смена DNS-сервера помогает обойти блокировку. Для этого вместо DNS-сервера провайдера в сетевых настройках выставляют публичный DNS-сервер. После этого можно свободно заходить на заблокированные ранее сайты.

Решение

Чтобы предотвратить смену DNS-сервера нужно ограничить права для учётных записей пользователей. Отсутствие прав администратора не позволит учащимся изменить настройки сети.

3. Редактирование файла hosts

hosts — это файл, который отвечает за преобразование символьных имен доменов в соответствующие им IP-адреса и наоборот. Так, к примеру, перед открытием сайта комьютер преобразует буквенное название google.com в соответствующие ему числа 173.194.112.98.

Текстовый документ hosts располагается в стандартных системных папках. Конкретное местоположение зависит от используемой операционной системы. К примеру, в Windows hosts находится в подпапках system32.

Содержимое файла hosts может быть отредактировано блокнотом или любым другим текстовым редактором. Это позволяет прописать там строку IP адреса и адреса запрещённого сайта. Компьютер будет брать информацию из отредактированного файла, в обход DNS-сервера.

Решение

Учётные записи учеников не должны обладать правами администратора. Это позволит предотвратить редактуру файла hosts.

4. Обход блокировки через браузеры

Для обхода блокировок учащиеся используют браузеры со специальным функционалом.

Tor Browser — приложение для одноименной анонимной сети. Сеть Tor скрывает данные пользователя, а также шифрует и передаёт трафик на разные серверы Tor.
Яндекс.Браузер позволяет включать турбо-режим. При его активации содержимое страницы, включая видео, отправляется на сервера Яндекса, где сжимается и затем передается в браузер на компьютере пользователя. Такая схема работы помогает турбо-режиму обходить некоторые контент-фильтры. Подобной функцией обладали браузеры Chrome и Opera, но с недавнего времени они от нее отказались.
Opera оснащена функцией встроенного VPN. При активации VPN Opera заменяет реальный IP-адрес пользователя виртуальным.

Решение

Используйте для работы браузеры без перечисленного выше функционала: Internet Explorer, Mozilla Firefox или Microsoft Edge. Дополнительно ограничьте права для учётных записей пользователей. Без прав администратора учащиеся не смогут установить новые браузеры.

5. Расширения для обхода блокировки сайтов

Плагины — это расширения для браузеров. Они бесплатны и устанавливаются практически на любой веб-обозреватель: Google Chrome, Яндекс.Браузер, Opera, Mozilla Firefox, Internet Explorer, Microsoft Edge.

Расширение iNinja Proxy позволяет выбрать страну, откуда будет осуществляться доступ

Существуют различные плагины для обхода блокировок: RusVPN, iNinja Proxy, ZenMate VPN, Hotspot Shield, TunnelBear VPN и так далее. По аналогии с прокси-серверами они маскируют настоящие IP-адреса пользователей. После установки подобного расширения браузер открывает ранее недоступные сайты.

Решение

Если в школе используется браузер Chrome, можно установить сервис Chrome Enterprise. Это облачное решение для управления доступом пользователей к данным, приложениям и расширениям.
Работать только по «белому» списку. В этом случае ученики не смогут поставить плагины на браузер через специализированные магазины.

6. Эвфемизмы, жаргонизмы, сленг, подмена букв в словах и обобщённые наименования

Эвфемизмы позволяют обходить фильтрацию. Нейтральные по смыслу слова и словосочетания порой описывают неприличные действия и вещи. Например, выражение «потёк чердак» означает не только плохое состояние комнаты под крышей здания, но и нестабильное психическое/эмоциональное состояние у человека. Попросту — сумасшедший или психованный. Эвфемизмы могут ввести в заблуждение не только людей, но и контент-фильтры.

Также могут помочь жаргонизмы. Они позволяют находить сайты по лексике, не напрямую называющие объект поиска. К примеру, слово «собака» можно найти по слову «шавка». По аналогии поступают и при поиске запрещённых сайтов.

Пример использования жаргонизма

Некоторые фильтры пропускают сленг. В каждой из запрещённых категорий сайтов есть понятия, расхожие внутри группы. Так в среде наркоманов свои выражения, в порноиндустрии — свои, и так далее.

Может сработать подмена букв. К примеру, вместо ввода в поисковой строке слова «пёс» можно ввести «пьос». Аналогично словесное жонглирование помогает при поиске и доступе к сайтам из запретных категорий.

Обобщённые наименования также находятся в группе риска. Так достаточно прописать термин не напрямую, а обобщённо, как группу. Как правило, в поисковой выдаче присутствуют справочники и форумы, которые содержат ссылки на интересующую тематику.

Решение

Во всех случаях поможет работа только по «белому» списку. Безопасный поиск будет работать с переменным успехом. Предусмотреть все возможные вариации слов и словосочетаний — нереально. А с сознательными искажениями и подавно.

7. Программы удалённого доступа

Школьники используют программы удалённого доступа. Они позволяют управлять одним устройством, при помощи другого. При этом сами устройства могут находиться на большом расстоянии друг от друга.

В качестве программы используют TeamViewer или её аналоги. Программы ставят на учебный и домашний компьютер. В удобное время ученики устанавливают связь с домашним устройством. С него можно зайти на заблокированные сайты.

Решение

В этом случае поможет ограничение прав для учётных записей пользователей. Без прав администратора учащиеся не смогут устанавливать стороннее программное обеспечение.

8. Переводчики сайтов

Некоторые поисковики позволяют обойти интернет-фильтры при помощи систем перевода текста. Автоматический перевод меняет язык страницы, к примеру, английский на русский. Также перевод позволяет открывать заблокированные сайты.

Функция перевода страниц в поисковике Google

Поисковики Google и Яндекс оснащены функцией перевода текста. Чтобы зайти на иностранный заблокированный сайт, достаточно нажать в поисковой выдаче кнопку «Перевести эту страницу» или «Перевести» напротив нужной строки.

Функция перевода страниц в поисковике Яндекс

Решение

Есть несколько решений. Первое — работать только по «белому» списку. Второе — настроить работу безопасного поиска и не использовать поисковики Google и Яндекс.

9. Кэшированные страницы

Кэшированная страница — страница, которая попала в память поисковых систем. Некоторые контент-фильтры позволяют открыть подобные страницы. Причём в одних браузерах они могут быть заблокированы, а в других — открыты.

Пример открытия кэшированной страницы в поисковике Bing

На кэшированные страницы можно попасть через поисковую выдачу. Достаточно открыть сохранённые копии напротив искомых сайтов. Страницы могут быть несколько устаревшими. Но они могут быть открыты.

Решение

Открыть кэшированную страницу не получится, если работать по безопасному поиску или только по «белому» списку.

Вывод

Школьники используют различные способы обхода блокировок. С большей частью из них справятся ограничение прав для учётной записи пользователя, работа только по «белому» списку, а также безопасный поиск.

Способы борьбы с обходами блокировок могут помочь во время прокурорских проверок. Никто специально не будет ставить программы, менять DNS-сервера и пытаться зайти на запрещённый сайт через прокси-сервер. Помощник прокурора может просто допустить ошибку при написании слова. Результат поисковой выдачи может неприятно удивить.

Как обойти фильтры провайдера