রহস্যময় ভুল পথে চালিত চীনা ট্র্যাফিক: কীভাবে ডিএনএস সার্ভারটি এইচটিটিপি অনুরোধ ব্যবহার করেছে তা আমি কীভাবে জানতে পারি?

Question

গত এক সপ্তাহ ধরে আমি চাইনিজ আইপি অ্যাড্রেসগুলির বিস্তৃত পরিসর থেকে প্রচুর ট্র্যাফিক পাচ্ছি getting এই ট্র্যাফিকটি সাধারণ মানুষের থেকে উপস্থিত বলে মনে হয় এবং তাদের এইচটিটিপি অনুরোধগুলি ইঙ্গিত দেয় যে তারা মনে করে আমি:

• ফেসবুক
• জলদস্যু উপসাগর
• বিভিন্ন বিটোরেন্ট ট্র্যাকার,
• পর্ন সাইট

এগুলির সবগুলিই এমন জিনিসগুলির মতো লাগে যা লোকেরা একটি ভিপিএন ব্যবহার করবে। বা এমন জিনিস যা চীনের গ্রেট ওয়ালকে রাগান্বিত করবে।

ব্যবহারকারী-এজেন্টগুলির মধ্যে ওয়েব ব্রাউজারগুলি, অ্যান্ড্রয়েড, আইওএস, এফবিআইএসএসডিকে, বিটোরেন্টস অন্তর্ভুক্ত রয়েছে। আইপি ঠিকানাগুলি সাধারণ বাণিজ্যিক চীনা সরবরাহকারী commercial

হোস্টটি ভুল হলে বা ব্যবহারকারী এজেন্ট স্পষ্টত ভুল হলে আমার কাছে Nginx 444 ফেরত আসবে:

## Deny illegal Host headers
if ($host !~* ^({{ www_domain }})$ ) {
   return 444;
}
## block bad agents
if ($http_user_agent ~* FBiOSSDK|ExchangeWebServices|Bittorrent) {
    return 444;
}

আমি এখন লোডটি পরিচালনা করতে পারি, তবে 2k / মিনিট অবধি কিছু বিস্ফোরণ ঘটেছে। তারা কেন আমার কাছে আসছেন এবং এটি বন্ধ করে দিতে চাই want আমাদের বৈধ সিএন ট্র্যাফিকও রয়েছে, তাই গ্রহ পৃথিবীর 1/6 তমকে নিষিদ্ধ করা কোনও বিকল্প নয়।

এটি সম্ভবত এটির দূষিত এবং এমনকি ব্যক্তিগত, তবে এটি কেবল একটি ভুল কনফিগার্ড ডিএনএস হতে পারে।

আমার তত্ত্বটি হ'ল এটির একটি ভুল কনফিগার্ড ডিএনএস সার্ভার বা সম্ভবত কিছু ভিপিএন পরিষেবাদি যা লোকে গ্রেট ফায়ার ওয়ালটি পেতে পারে।

একটি ক্লায়েন্টের আইপি ঠিকানা দেওয়া:

183.36.131.137 - - [05/Jan/2015:04:44:12 -0500] "GET /announce?info_hash=%3E%F3%0B%907%7F%9D%E1%C1%CB%BAiF%D8C%DE%27vG%A9&peer_id=%2DSD0100%2D%96%8B%C0%3B%86n%8El%C5L%11%13&ip=183.36.131.137&port=11794&uploaded=4689970239&downloaded=4689970239&left=0&numwant=200&key=9085&compact=1 HTTP/1.0" 444 0 "-" "Bittorrent"

আমি জানতে পারি:

descr:          CHINANET Guangdong province network
descr:          Data Communication Division
descr:          China Telecom

• এই গ্রাহকরা কী ডিএনএস সার্ভার ব্যবহার করছেন তা আমি কীভাবে জানতে পারি?
• কোনও ভিপিএন থেকে কোনও এইচটিটিপি অনুরোধ আসছে কিনা তা নির্ধারণ করার কোনও উপায় আছে কি?
• সত্যিই এখানে কি ঘটছে না ?

Comments

আমি এই সমস্যাটি আগেও দেখেছি, উভয়ই ট্র্যাফিকের লক্ষ্য এবং আমার সার্ভারের জন্য ট্র্যাফিকের উদ্দেশ্যে অন্য কোথাও প্রেরণ করা হয়েছিল। যদিও আমার কোনও উত্তর নেই। আমি ফায়ারওয়াল দিয়ে প্রথম সমস্যার প্রভাব হ্রাস করেছিলাম এবং দ্বিতীয়টি আমাদের নির্দিষ্ট পরিস্থিতিতে কেবল আমাদের সফ্টওয়্যার সমাধান দ্বারা সম্ভব হয়েছিল (আমাদের সফ্টওয়্যার অনুরোধগুলি করছিল)। প্ররোচিত করার প্রক্রিয়ায়, আমরা দেখতে পেয়েছি যে কিছু ডিএনএস সার্ভার খুব কম টিটিএলকে সম্মান করতে অস্বীকার করে, পরিবর্তে কয়েক মাস ধরে ফলাফলটি ক্যাশে করে যা আপনার পক্ষে ট্রাফিক পাচ্ছেন এমন সাইটের তালিকার ব্যাখ্যা দিতে পারে।

— xofer

এই প্রশ্নটি পরীক্ষা করে দেখুন। আমার একই সমস্যা ছিল সার্ভারফল্ট / প্রশ্ন / 656093/… আমি কেন জানি কোনও আইএসপি কেন এরকম কিছু করবে as আমি মানটি দেখতে পাচ্ছি না

— চ্যাটস

আমার অভিজ্ঞতায়, এগুলি ওপেন ওয়েব প্রক্সিগুলি সন্ধান করার চেষ্টা। কিছু ওয়েব সার্ভার আপনাকে কোনও ইউআরএল অনুরোধ করার অনুমতি দেবে ; আমি একবার এরকম একটির সাথে মোকাবিলার জন্য আহ্বান জানালাম, এটি এমনকি পরিষেবাতে আসার আগেই এটি (উদার) মাসিক ব্যান্ডউইথ বরাদ্দকে ছাড়িয়ে গিয়েছিল। নানজিং ইনস্টিটিউট অফ টেকনোলজির একগুচ্ছ শিক্ষার্থী আবিষ্কার করেছে যে তারা এটিতে এইচটিটিপিএস সংযোগ তৈরি করতে পারে এবং যে কোনও ওয়েবপৃষ্ঠার জন্য অনুরোধ করতে পারে এবং এইভাবে তারা গ্রেট ফায়ারওয়াল পেরিয়ে তাদের সমস্ত পর্নাকে স্নেহ করে চলেছিল। আপনি যদি অনুরোধ করা সামগ্রীটি প্রকৃতপক্ষে পরিবেশন না করে থাকেন তবে আপনার ভাল হওয়া উচিত।

— ম্যাডহ্যাটার মোনিকা

সাধারণত, হ্যাঁ উপরে কেবল একটি লগ এন্ট্রি উদ্ধৃত হয়েছিল, তাই আমি এটি উল্লেখযোগ্য বলে মনে করি; এটি একটি সম্পূর্ণ, চিন্তা-ভাবনা উত্তর হওয়ার উদ্দেশ্য নয় বা আমি এটি একটি হিসাবে জমা দিয়েছি!

— ম্যাডহ্যাটার

1. আপনি কি এখানে মার্কিন যুক্তরাষ্ট্রে নিবন্ধিত ডোমেইনের জন্য সিসাদমিনগুলি সন্ধান করার চেষ্টা করেছেন? যদি তাই হয় আপনি জানেন যে কত কঠিন হতে পারে। আমি কল্পনা করেছিলাম যে এটির চূড়ান্ত অসম্ভবকে কাছেই কেবল "চিনানেট" এ কথা বলার জন্য সঠিক ব্যক্তিকে খুঁজে পাওয়া যায়নি তবে সঠিক ব্যক্তি যিনি আপনাকে সহায়তা করার পক্ষে যথেষ্ট যত্নশীল।

— মাইকেল মার্টিনেজ

Answer 1

আপনার ক্লায়েন্টদের ডিএনএস রেজলভার নির্ধারণ করার একটি তাত্ত্বিক উপায় রয়েছে তবে এটি বেশ উন্নত এবং আমি কোনও অফ-শেল্ফ সফ্টওয়্যার জানি না যা এটি আপনার পক্ষে করবে। আপনাকে অবশ্যই আপনার এনজিএনএক্স ছাড়াও একটি অনুমোদিত ডিএনএস সার্ভার চালাতে হবে।

এইচটিটিপি হোস্ট শিরোনামটি ভুল হলে, একটি ত্রুটি-নথি পরিবেশন করুন এবং আপনি একটি ডাটাবেসে লগইন করে এমন প্রতিটি অনুরোধের জন্য একটি গতিশীলভাবে তৈরি, অনন্য এফকিউডিএন-এর একটি অনুরোধ অন্তর্ভুক্ত করুন। যেমন।

http://e2665feebe35bc97aff1b329c87b87e7.example.com/img.png

যতক্ষণ না চিনাস দুর্দান্ত ফায়ারওয়াল সেই অনুরোধটি মূর্খ করে না এবং ক্লায়েন্ট সেই অনন্য এফকিউডিএন + ইউআরআই থেকে নথির অনুরোধ করে, প্রতিটি অনুরোধ আপনার অনুমোদনপ্রাপ্ত ডিএনএসের জন্য একটি নতুন ডিএনএস লুকে দেখাবে উদাহরণস্বরূপ.কম যেখানে আপনি আইপি লগ করতে পারবেন ডিএনএসের সমাধানকারী এবং পরে এটি আপনার গতিশীল উত্পাদিত ইউআরআইয়ের সাথে সম্পর্কযুক্ত।

Comments

এটি আমি একই পরামর্শ দিচ্ছি, যদিও আমি মনে করি এটি কার্যকর করার জন্য অন্য স্তরের ডোমেনগুলির প্রয়োজন হবে। প্রাথমিক ডোমেনটি যদি হয় তবে example.comআপনি কোনও সাবডোমেনের জন্য একটি এনএস রেকর্ড তৈরি করবেন ns-detect.example.com। তারপরে আপনি সেই ডোমেন নামের নীচে একটি অনন্য নাম তৈরি করবেন, যেমন সম্পূর্ণ ডোমেন হবে e2665feebe35bc97aff1b329c87b87e7.ns-detect.example.com।

— কাস্পার্ড

এটি একটি আকর্ষণীয় পদ্ধতির। আমি এখন সন্দেহ করছি যে পুনঃনির্দেশটি ইচ্ছাকৃতভাবে করা হয়েছে (কারণ আমি কেবল এটিই দেখছি না)। সুতরাং আমি ধরে নেব যে বিভিন্ন চাইনিজ ডিএনএস সার্ভার সাবডোমেনটি পাওয়ার জন্য কর্তৃপক্ষের কাছে একটি অনুসন্ধান করতে বিরত করবে না। এটি করা তাদের পক্ষে বোধগম্য হবে না।

— ফেলিক্স

যদি তারা কোনও শ্বেত তালিকাভুক্ত অ্যাপ্রোচ ব্যবহার করে তবে আপনি সম্ভবত সঠিক। যদি তারা কালো তালিকাভুক্ত হয় তবে প্রকৃতপক্ষে নির্দোষ দেখাচ্ছে এফকিউডিএন অনুসন্ধান করা উচিত নয় এমন কোনও কারণ নেই। অবশ্যই এটি ডিএনএসের প্রতিক্রিয়াগুলির সাথে কেবল চারপাশে খেলার চেয়ে আরও বেশি উন্নত ফিল্টারিং কৌশলগুলির ফলাফলও হতে পারে।

— r_3

ক্যাস্পার্ডের নিজস্ব এনএস দিয়ে সাবডোমেন তৈরি করার ধারণার জন্য +1, লগগুলি আপনার সাধারণ ডিএনএস থেকে পৃথক রাখতে। এবং আপনার সাধারণ জিনিসগুলি স্ক্রু করার কম সুযোগ নিয়ে এটি করার জন্য। যদি আপনি হোস্ট-নেমগুলির জন্য HTTP অনুরোধগুলি দেখতে পান যা আপনার ডিএনএস-এ কারও দ্বারা সন্ধান করা হয়নি, তবে আপনি জানেন যে আপনার খারাপ ক্লায়েন্টরা যে ডিএনএস সার্ভারটি ব্যবহার করছে তা ডিএনএস প্রতিক্রিয়া তৈরি করছে (এবং এটি ভুল হয়ে যাচ্ছে, যেহেতু তারা সম্ভবত ট্র্যাফিক অন্য কোথাও প্রেরণ করতে চেয়েছিল সম্ভবত কোনও চীনা প্রশাসক কোথাও কোনও কনফিগারেশনে আইপি ঠিকানা টাইপ করেছেন?)

— পিটার কর্ডেস

গ্রহণ করা হচ্ছে কারণ এটির প্রথম প্রশ্নের উত্তর সবচেয়ে সঠিক। আমরা ট্র্যাফিক কেন পাই তা সত্যই সমাধান করে না, তবে স্ট্যাকেক্সচেঞ্জ অস্পষ্ট প্রশ্নগুলির অনুমতি দেয় না।

— ফেলিক্স

Answer 2

আমি শুনেছি যে দুর্দান্ত ফায়ারওয়াল "ব্লকড" ট্র্যাফিককে মুষ্টিমেয় ফনি আইপিগুলিতে পুনঃনির্দেশ করতে ব্যবহার করেছে, তবে এটি তাদের ব্লকগুলিকে সহজেই চিহ্নিত করতে বাধ্য করছিল (আমি নিশ্চিত নই যে এটি সহজে বিভ্রান্তির অনুমতি দেয় কিনা)। যে কোনও ক্ষেত্রে প্রশাসকরা এলোমেলো আইপিগুলিতে পুনর্নির্দেশ শুরু করেছেন। এর ফলে কিছু চীনা ব্যবহারকারী ফেসবুক বা ভিপিএন পরিবর্তে অশ্লীল হয়ে উঠেছে, স্পষ্টতই।

আমি সন্দেহ করি যে আপনার আইপিগুলির মধ্যে একটি ব্লক করা চীনা ট্র্যাফিকের প্রাপক হিসাবে প্রমাণিত হয়েছে - সুতরাং আপনি ফেসবুক আইপিআই ব্যবহারকারী এজেন্টদের দেখছেন।

এর অর্থ হোস্ট-শিরোনামের চেকটি ভাল হওয়া উচিত। বেশিরভাগ ব্যবহারকারীর এজেন্ট আজকাল এসএনআই সমর্থন করে, তাই আপেক্ষিক দায়মুক্তি সহ আপনার কোনও নো-হোস্ট-শিরোনাম ট্র্যাফিক ছাড়তে সক্ষম হওয়া উচিত।

সম্পাদনা করুন: http://www.infosecurity-magazine.com/news/great-firewall-upreg-redirects/

Answer 3

এই গ্রাহকরা কী ডিএনএস সার্ভার ব্যবহার করছেন তা আমি কীভাবে জানতে পারি?

চিনানেটের সাথে যোগাযোগ করুন এবং জিজ্ঞাসা করবেন? গুরুতরভাবে, ডিএনএস ক্লায়েন্টের পক্ষে কনফিগারযোগ্য। বেশিরভাগ লোকেরা ডিএইচসিপি এর মাধ্যমে ডিএনএস সেটিংস পান তবে ওপেনডিএনএস এবং গুগলের ডিএনএস অফারগুলিতে যদি আপনি সেগুলি পরিবর্তন করতে না পারেন তবে কোনও ব্যবসায়ের মডেল থাকবে না।

কোনও ভিপিএন থেকে কোনও এইচটিটিপি অনুরোধ আসছে কিনা তা নির্ধারণ করার কোনও উপায় আছে কি?

আসলেই নয়, আইপিটি ভিপিএনের হবে, চিনের শেষ ব্যবহারকারী নয়।

সত্যিই এখানে কি ঘটছে না ?

যা আমি আপনাকে বলতে পারি না, তবে সম্ভবত চীনের গ্রেট ফায়ারওয়ালে কোনও ধরণের ভুল কনফিগারেশন রয়েছে ?