Данный модуль предназначен для настройки блокировок реестра запрещенных сайтов.

• Получение реестра запрещенных сайтов по расписанию (cron)
• Формирование списков блокировки по типам ( ip, domain, domain-mask, url )
• Блокировка в «реальном времени»
• Оповещение, при неудачной выгрузке
• Предупреждение о необходимости обновления сертификата с ЭП
• «Гибкая» работа с реестром(возможность определять политики блокировки доступа)

Предполагается, что у Вас уже имеется выгруженный сертификат в формате PCKS#12.
Сертификат (как правило файл p12.pfx) копируем на сервер, где вы планируете осуществлять выгрузку, в свою домашнюю папку.
Проверяем установленный в системе OpenSSL на наличие поддержки GOST и сам сертификат:

# cd ~ 
# /usr/local/bin/openssl ciphers | tr ":" "\n" | grep GOST
GOST2001-GOST89-GOST89
GOST94-GOST89-GOST89
# /usr/local/bin/openssl pkcs12 -in p12.pfx -nodes
Enter Import Password:

Если все в порядке, конвертируем pkcs#12 в PEM формат:

# /usr/local/bin/openssl pkcs12 -in p12.pfx -out certificate.pem -nodes -clcerts
Enter Import Password:

Полученный в результате файл certificate.pem помещаем в папку /usr/abills/var/db/rkn/cfg

Рекомендуется первый запуск системы произвести вручную, так как список очень большой и наполнении его «вживую» займёт очень много времени. Для этого нужно запустить скрипт в режиме отладки:

/usr/abills/libexec/billd rkn DEBUG=4

При этом будут сформированы списки для блокировки, а команды выполнятся не будут. После этого перезапускаем используемые службы и в переходим в автоматический режим, добавлем задание в cron:
/etc/crontab

* 1,9,17 * * * root /usr/abills/libexec/billd rkn

Если что-то пошло некорректно, можно произвести реинициализацию системы, выполнив последовательно 2 команды:

/usr/abills/libexec/billd rkn INIT=1
/usr/abills/libexec/billd rkn DEBUG=4

В связке с DNS резолвером unbound возможна как статичное, так и динамическое обновление записей в кеше DNS сервера. После установки и настройки остается только добавить в файл unbound.conf в секции server: следующую строку:

include: "/usr/abills/var/db/rkn/domain_list"

Блокировки начнут работать после перезапуска сервера. Шаблон для формирования файла domain_list приведен в примерах настройки. Для того чтобы в дальнейшем не перезагружать сервер, а только вносить изменения в его кеш, нужно в config.pl указать команды для блокировки и разблокировки в параметрах $conf{RKN_DNS_ADD_CMD} и $conf{RKN_DNS_ADD_CMD}.

Для блокировки по IP адресу удобно использовать таблицы в ipfw, например так:

fwcmd="/sbin/ipfw"
nat_interface="igb0"
...
...
${fwcmd} add deny all from any to "table(13)" via ${nat_interface}
cat /usr/abills/var/db/rkn/ip_list |
{
while read ip
do
${fwcmd} table 13 add $ip
done
}
...
...

В дальнейшем записи в таблицу будут добавляться и удаляться автоматически, без перечитывания правил.

Данный модуль может быть использован, как для формирования списков для аппаратных решений (DPI), так и для «софтовой» блокировки. Естественно, что владельцы аппаратных решений получают конкурентное преимущество, так как имеют возможность блокировать ресурсы на более высоком уровне(url), а не весь ресурс или IP адрес, на котором может находится кроме заблокированного ещё куча сайтов. Как же быть тем, для кого бюджет установки DPI неоправданно высок.
Попытаемся исправить ситуацию. Итак, что мы имеем в записи реестра: * Тип блокировки