В течение прошлой недели я получал огромный поток трафика с широкого диапазона китайских IP-адресов. Этот трафик, кажется, от нормальных людей, и их HTTP-запросы указывают, что они думают, что я:
- Пиратская бухта
- различные трекеры BitTorrent,
- порносайты
Все это звучит как вещи, для которых люди будут использовать VPN. Или вещи, которые могли бы разозлить Великую китайскую стену.
Пользовательские агенты включают веб-браузеры, Android, iOS, FBiOSSDK, Bittorrent. IP-адреса являются обычными коммерческими китайскими провайдерами.
У меня Nginx возвращает 444, если хост неверен или пользовательский агент явно не прав:
## Deny illegal Host headers
if ($host !~* ^({{ www_domain }})$ ) {
return 444;
}
## block bad agents
if ($http_user_agent ~* FBiOSSDK|ExchangeWebServices|Bittorrent) {
return 444;
}
Я могу справиться с нагрузкой сейчас, но было несколько ударов до 2к / мин. Я хочу выяснить, почему они приходят ко мне и остановить это. У нас также есть законный CN-трафик, поэтому запретить 1/6 планеты Земля нельзя.
Возможно, это злонамеренный и даже личный, но это может быть просто неправильно настроенный DNS.
Моя теория заключается в том, что это неправильно настроенный DNS-сервер или, возможно, некоторые VPN-сервисы, которые люди используют для обхода Великой Огненной Стены.
Учитывая IP-адрес клиента:
183.36.131.137 - - [05/Jan/2015:04:44:12 -0500] "GET /announce?info_hash=%3E%F3%0B%907%7F%9D%E1%C1%CB%BAiF%D8C%DE%27vG%A9&peer_id=%2DSD0100%2D%96%8B%C0%3B%86n%8El%C5L%11%13&ip=183.36.131.137&port=11794&uploaded=4689970239&downloaded=4689970239&left=0&numwant=200&key=9085&compact=1 HTTP/1.0" 444 0 "-" "Bittorrent"
Я могу знать:
descr: CHINANET Guangdong province network
descr: Data Communication Division
descr: China Telecom
- Как я могу узнать, какой DNS-сервер используют эти клиенты?
- Есть ли способ определить, поступает ли HTTP-запрос от VPN?
- Что на самом деле здесь происходит?
Ответы:
Существует один теоретический способ определения DNS-распознавателя ваших клиентов, но он достаточно продвинут, и я не знаю ни одного готового программного обеспечения, которое бы сделало это за вас. Вам наверняка придется запустить для этого авторитетный DNS-сервер в дополнение к вашему nginx.
Если заголовок HTTP Host неверен, подайте документ об ошибке и включите запрос к динамически создаваемому уникальному FQDN для каждого запроса, который вы регистрируете в базе данных. например.
До тех пор, пока отличный межсетевой экран Chinas не будет обрабатывать этот запрос, а клиент запрашивает документ с этого уникального FQDN + URI, каждый запрос будет приводить к новому поиску DNS на вашем авторитетном DNS для example.com, где вы можете регистрировать IP-адрес DNS-распознаватель и позже сопоставьте его с вашими динамически генерируемыми URI.
источник
example.com, вы должны создать запись NS для одного субдомена, напримерns-detect.example.com. Затем вы должны создать уникальное имя под этим доменным именем, таким как полный доменe2665feebe35bc97aff1b329c87b87e7.ns-detect.example.com.Я слышал, что отличный брандмауэр использовался для перенаправления «заблокированного» трафика на несколько фальшивых IP-адресов, но это приводило к тому, что их блоки легко обнаруживались (я не уверен, позволял ли он легкую подрывную деятельность). В любом случае администраторы начали перенаправлять на случайные IP-адреса. Это привело к некоторым китайским пользователям получать порно, а не Facebook или ВЧС, по-видимому.
Я подозреваю, что один из ваших IP-адресов оказался получателем заблокированного китайского трафика - следовательно, вы видите пользовательских агентов Facebook IPI.
Это означает, что проверка заголовка узла должна быть хорошей. В наши дни большинство пользовательских агентов поддерживают SNI, поэтому вы должны иметь возможность отбрасывать трафик без заголовка узла с относительной безнаказанностью.
Изменить: http://www.infosecurity-magazine.com/news/great-firewall-upgrade-redirects/
источник
Связаться с Chinanet и спросить? Серьезно, DNS настраивается на стороне клиента. Большинство людей получают настройки DNS через DHCP, но у OpenDNS и предложения DNS от Google не будет бизнес-модели, если вы не сможете их изменить.
Не совсем, за исключением того, что IP будет VPN, а не конечным пользователем в Китае.
Что я не могу вам сказать, но, возможно, в Великом брандмауэре Китая есть какая-то неверная конфигурация ?
источник