Блокирование по IP-адресу – проще некуда

2. July 2012, 13:03 Интернет, Новостное

Кстати, для провайдера, заблокировать доступ к сайту по IP-адресу – это самое простое решение, потому что IP-маршрутизация большей частью работает, примерно, на аппаратном уровне. То есть, очень быстро и прозрачно. А вот блокирование на уровне прикладных протоколов (DNS, HTTP), позволяющее сделать блокировку более избирательной – это уже сильно другая задача. Тут требуется анализ содержимого пакетов, а не заголовков, который тянет за собой дополнительное ПО и заметные вычислительные мощности.

Хотя, надо заметить, блокирование по прикладным протоколам математически выглядит куда более правильным – ведь для чтения сайтов используют именно их. В плане реализации особенно занимательно выглядит инспектирование HTTPS, да. Ну а верный способ построить эффективную систему, это строгий контроль пользовательского ПО, служащего для просмотра Интернета.

Адрес записки: https://dxdt.ru/2012/07/02/4976/

Похожие записки:



Далее - мнения и дискуссии

(Сообщения ниже добавляются читателями сайта, через форму, расположенную в конце страницы.)

Комментарии читателей блога: 4

  • 1 <t> // 2nd July 2012, 13:07 // Читатель jno написал:

    чёй-то инспекция HTTP-запроса не выглядит особенно затратной…
    и, при некотором желании, она ещё и “проблемы” (прозрачных) прокси лечит.

  • 2 <t> // 2nd July 2012, 15:22 // Читатель sarin написал:

    не особенно затратной по сравнению с чем? инспекцией IP?
    что проще сравнить: 4 байта, или строки произвольной длинны? инспекция HTTP-запроса может и не выглядит затратной когда проводится вэб-сервером который этот запрос и должен обрабатывать. а когда нужно на лету проверять одновременно миллионы пакетов то всё становится немного по-другому.

  • 3 <t> // 2nd July 2012, 20:27 // Читатель jno написал:

    Понятно, что проще сравнить двоичное число!
    Вопрос не в этом.
    Просто (да, “на глаз”) доступные вычислительные мощности выглядят _достаточными_ для такого рода фильтрации on the fly.
    Пусть не на бэкбонах (там, вроде, и не надо), но на уровне ISPшных серверов доступа – вполне.

    Опять же, законодатель будет ставить раком в первую очередь “розничных” ISP, а не “магистральных” (у которых нет никаких юридических отношений с гражданами, которым чего-то там запрещено, но есть договора межоператорские, где никакой фильтрации не предусмотрено).

    Даже если эти “розничные” и “магистральные” – разные отделы одной конторы :)

  • 4 <t> // 2nd July 2012, 20:36 // Читатель jno написал:

    А ещё можно сделать “национальный NAT”, практикуемый уже какими-то арабами, чтобы “белых” адресов юзера не получали в принципе. Вот и будет сразу всё в одном стакане, включая “рубильник”.

    Конечно, есть туннели-випиэны всякие, да. Но 98% юзеров это дело накроет вполне.