Данный модуль предназначен для настройки блокировок реестра запрещенных сайтов.

• Получение реестра запрещенных сайтов по расписанию (cron)
• Формирование списков блокировки по типам ( ip, domain, domain-mask, url )
• Блокировка в «реальном времени»
• Оповещение, при неудачной выгрузке
• Предупреждение о необходимости обновления сертификата с ЭП
• «Гибкая» работа с реестром(возможность определять политики блокировки доступа)

wget https://www.openssl.org/source/openssl-1.0.1u.tar.gz
tar zxvf openssl-1.0.1u.tar.gz
cd openssl-1.0.1u
./config shared zlib enable-rfc3779 --prefix=/usr/local
make depend
make
make install

Далее, после установки редактируем файл /usr/local/ssl/openssl.cnf

К названию первой секции (первая строка [в квадратных скобках]) добавляем:

  openssl_conf = openssl_def

Далее в конец файла вносим:

[openssl_def]
engines = engine_section

[engine_section]
gost = gost_section

[gost_section]
engine_id = gost
default_algorithms = ALL
#dynamic_path = /usr/local/lib64/engines/libgost.so
#CRYPT_PARAMS = id-Gost28147-89-CryptoPro-A-ParamSet

тестируем:

# /usr/local/bin/openssl ciphers | tr ":" "\n" | grep GOST

Вывод:

GOST2001-GOST89-GOST89
GOST94-GOST89-GOST89

Предполагается, что у Вас уже имеется выгруженный сертификат в формате PCKS#12.
Сертификат (как правило файл p12.pfx) копируем на сервер, где вы планируете осуществлять выгрузку, в свою домашнюю папку.
Проверяем установленный в системе OpenSSL на наличие поддержки GOST и сам сертификат:

# cd ~ 
# /usr/local/bin/openssl ciphers | tr ":" "\n" | grep GOST
GOST2001-GOST89-GOST89
GOST94-GOST89-GOST89
# /usr/local/bin/openssl pkcs12 -in p12.pfx -nodes
Enter Import Password:

Если все в порядке, конвертируем pkcs#12 в PEM формат:

# /usr/local/bin/openssl pkcs12 -in p12.pfx -out certificate.pem -nodes -clcerts
Enter Import Password:

Полученный в результате файл certificate.pem помещаем в папку /usr/abills/var/db/netblock/cfg
Заполняем реквизиты необходимые для формирования файла-запроса(Настройка>Другое>Параметры организации):

• ORGANIZATION_NAME
• ORGANIZATION_INN
• ORGANIZATION_OGRN
• ORGANIZATION_MAIL

Если какой-либо из этих реквизитов отсутствует, необходимо добавить его самостоятельно.
И наконец подписываем файл-запрос, выполнив в консоли команду:

/usr/abills/libexec/billd netblock CONF=1

Рекомендуется первый запуск системы произвести вручную, так как список очень большой и наполнение его «вживую» займёт очень много времени. Для этого нужно запустить скрипт в режиме отладки:

/usr/abills/libexec/billd netblock TYPE=rkn DEBUG=4

При этом будут сформированы списки для блокировки, а команды выполнятся не будут. После этого перезапускаем используемые службы и переходим в автоматический режим., добавляем задание в cron:
/etc/crontab

* 1,9,17 * * * root /usr/abills/libexec/billd netblock TYPE=rkn

Если Вы хотите, чтобы файл запроса каждый раз подписывался заново, добавьте аргумент CONF=2
Если что-то пошло некорректно, можно произвести переинициализацию системы, выполнив последовательно 2 команды:

/usr/abills/libexec/billd netblock TYPE=rkn INIT=1
/usr/abills/libexec/billd netblock TYPE=rkn DEBUG=4

Система логирует дествия по получению данных РКНЗ и обновлению листов доступу (access-list)

Отчёт>Cписок логов

netblock.log

В связке с DNS резолвером unbound возможна как статичное, так и динамическое обновление записей в кеше DNS сервера. После установки и настройки остается только добавить в файл unbound.conf в секции server: следующую строку:

include: "/usr/abills/var/db/netblock/domain_list"

Блокировки начнут работать после перезапуска сервера. Шаблон для формирования файла domain_list приведен в примерах настройки. Для того чтобы в дальнейшем не перезагружать сервер, а только вносить изменения в его кеш, нужно в config.pl указать команды для блокировки и разблокировки в параметрах $conf{NETBLOCK_DNS_ADD_CMD} и $conf{NETBLOCK_DNS_DEL_CMD}.

Для блокировки по IP адресу удобно использовать таблицы в ipfw, например так:

fwcmd="/sbin/ipfw"
nat_interface="igb0"
...
...
${fwcmd} add deny all from any to "table(13)" via ${nat_interface}
cat /usr/abills/var/db/netblock/ip_list |
{
while read ip
do
${fwcmd} table 13 add $ip
done
}
...
...

В дальнейшем записи в таблицу будут добавляться и удаляться автоматически, без перечитывания правил.

Данный модуль может быть использован, как для формирования списков для аппаратных решений (DPI), так и для «софтовой» блокировки. Естественно, что владельцы аппаратных решений получают конкурентное преимущество, так как имеют возможность блокировать ресурсы на более высоком уровне(url), а не весь ресурс или IP адрес, на котором может находится кроме заблокированного ещё куча сайтов. Как же быть тем, для кого бюджет установки DPI неоправданно высок.
Попытаемся исправить ситуацию. Итак, что мы имеем в записи реестра:

• Тип блокировки(ip,domain etc)
• IP адрес
• URL

Теперь смотрим, по какому алгоритму нас будут проверять:

раздел в разработке …