HTTPS (DNS, SNI, IP, Proxy)

* DNS фильтрация
* SNI фильтрация
* IP фильтрация
* Проксирование HTTPS-трафика

Фильтруются следующие порты: 443 в любом случае + все нестандартные порты у https-ссылок, имеющиеся в реестре.

Включена по умолчанию и крайне не рекомендуется к отключению. Используется в большей степени для подстраховки DNS-фильтрации, так как SNI-заголовок не обязателен в Client-Hello пакете. При срабатывании пользователю посылается TCP-RST пакет.

Схема при срабатывании:

Сложно:

{code}
1. Абонент ---TCP SYN--> Сервер
2. Абонент <--TCP SYN/ACK -- Сервер
3. Абонент ---TCP ACK--> Сервер
4. Абонент ---TCP: PSH/ACK SSL: Client Hello --> Сервер
5. Абонент <--TCP RST--- Редуктор
..
x. Сервер ---TCP PSH/ACK SSL: Server Hello --> Абонент
{code}

Но абоненту будет уже не важно.

Просто:

h2. IP фильтрация

Пользователь в итоге получает TCP-RST пакет.

Состоит из трёх частей:

h3. Фильтрация ресурсов, которые иначе не заблокировать

например:

{code}
https://1.2.3.4/bad/things
{code}

При совпадении IP адресов, попавших в реестр в таком виде, пользователю посылается TCP-RST.

h3. Фильтрация IP адресов всех HTTPS-ресурсов, имеющихся в реестре

Не самая лучшая опция, но некоторым клиентам очень важна надёжность фильтрации, а эта опция её сильно повышает.

h3. Фильтрация IP адресов из результатов резолва доменов, попавших для блокировки по домену или с https-ссылками.

Используется резолвер, раз в пять минут обновляющий данные по часто меняющим IP адреса ресурсам. У него довольно сложное внутреннее устройство в плане структуры данных и модели принятия решения об их устаревании. Вкратце - он довольно таки небезопасен для использования, но в своё время (до появления DNS и SNI фильтрации) очень сильно спасал с фильтрацией HTTPS ресурсов, часто меняющих свой IP адрес.


Списки фильтруемых в текущий момент IP можно посмотреть:

{code}
ipset save ip_https
ipset save ip_https_plus
{code}

h2. Проксирование трафика

Решение для редиректа и фильтрации с точностью до URL ресурсов, использующих технологию HSTS находится в экспериментальном состоянии.