Decker 9 июл 2016 в 20:20

Блокировка IP-адресов CloudFlare в Билайн. 149-ФЗ

4 мин

36K

Законодательство в IT

Комментарии 62

OldFisher 9 июл 2016 в 20:45

Видимо, открывает:

Скрытый текст

Error 1003 Ray ID: 2bfd965a68a64eb4 • 2016-07-09 17:45:01 UTC
Direct IP access not allowed
What happened?
You've requested an IP address that is part of the CloudFlare network. A valid Host header must be supplied to reach the desired website.

Decker 9 июл 2016 в 20:55

Да, в вашем случае открывается. А вот в Билайне просто таймаут соединения. Аналогичная ситуация и с доступом на GitHub, который сегодня тоже обсуждают здесь — Похоже, Github опять не доступен в России.

zikasak 9 июл 2016 в 23:23

Ростелеком Москва.
МТС Москва.
Открывает

nikitasius 10 июл 2016 в 00:17

Боже мой, какой бред творится в России. Выдали рубильники людям, что мышку вверх шариком держат…
Блокировать CDN провайдера…

Jeditobe 11 июл 2016 в 02:26

Блокировка Гитхаба передает привет Клаудфайру.

nikitasius 11 июл 2016 в 09:16

На самом деле привет весьма и весьма относителен. Ранее уже блочили CF? Да. Ранее уже блочили github? Да. Как бы и все. Блочили в России? Да, оба. Вот теперь все.
Следом, блокировки github или cloudflare не должны никаким образом влиять на решение "казнить нельзя помиловать", с запятой после «казнить», ибо рынок большой, и далее как про «негров, белого человека и их общие проблемы», а именно что проблем-то и нет.
Можно и нужно использовать CF в своих проектах, а для России можно оставить без CDN (все равно у CF в России сеть не развита), купив сервер в Москве.

Z0nd0R 10 июл 2016 в 07:16

В закон видимо нужна поправочка, которая налагает штраф за некорректную блокировку CDN и карать приличной суммой.

+14

vulybin 10 июл 2016 в 20:28

Отзывать лицензию, как у банков.

AxisPod 11 июл 2016 в 06:24

И кто это будет проверять? Если были бы адекватные люди, так вообще дело до блокировок и не доходило бы.

НЛО прилетело и опубликовало эту надпись здесь

Decker 10 июл 2016 в 09:27

У вас есть другие варианты привлечения внимания общественности к существующим проблемам?

+13

НЛО прилетело и опубликовало эту надпись здесь

Decker 10 июл 2016 в 09:46

На законы — нет, а вот на конкретные детали реализации их исполнения отдельно взятыми провайдерами — вполне.

+10

НЛО прилетело и опубликовало эту надпись здесь

Decker 10 июл 2016 в 09:55

Вы же читали абсурдную переписку с провайдером в посте, собственно, это первое что было сделано. Зачем пост именно на Хабре? Как уже говорилось — ради привлечения внимания общественности, в том числе и компетентных представителей провайдера.

ValdikSS 10 июл 2016 в 17:10

Я тоже считаю, что писать об этом на хабре безрезультатно. Пишите лучше на nag.ru, например. Или используйте антизапрет.

Tufed 11 июл 2016 в 17:32

А по мне так вполне годная информация. Дополняет картину реальности Российского блокировочного дурдома вкупе с безграмотностью, безответственностью и глубоким по***змом на интересы и свободы граждан РФ, как законотворцев так и исполнителей.

Vindicar 10 июл 2016 в 11:22

Но ведь Хабр != общественность.
Более того, те, кто читает Хабр, обычно уже в курсе бардака.

НЛО прилетело и опубликовало эту надпись здесь

JohnPribluda 10 июл 2016 в 09:33

Открывает
ТТК Южно-Сахалинск

Isis 10 июл 2016 в 15:18

Мне больше недели назад выдали новый IP для моего сайта, он оказался в реестре, а я об этом узнал, к сожалению, уже когда мой сайт стал недоступен для России. Потом мой домен автоматически добавился в реестр на основании решения какого-то там ставропольского суда от 10 июня 2013 года. Уже прошло 7 дней, а на почту ( zapret-info@rkn.gov.ru и zapret-info-out@rkn.gov.ru ) никто не отвечает и видимо не собираются.

yul 10 июл 2016 в 18:15

А домен похож на ваш ник?

n1nj4p0w3r 10 июл 2016 в 19:25

Давайте is-is запретим. Как появится террористическая организация tcp вернемся в каменный век -_-

rstepanov 11 июл 2016 в 13:08

http://www.isis.com.tr/?lang=ru

Это отель если что, а не база подготовки не-скажу-чего.

lair 10 июл 2016 в 19:21

Случайно не решение 2-946/13 от 10.06.2013, Октябрьский районный суд г. Ставрополя? Потому что ровно с теми же симптомами не открывается банальный docs.botframework.com (IP которого — 151.101.36.133 — заблокирован с теми же симптомами).

Isis 10 июл 2016 в 22:44

Именно это решение, да.

Jeditobe 11 июл 2016 в 02:26

https://habrahabr.ru/post/305314/

lair 11 июл 2016 в 11:10

Дадада, я уже обратил внимание, что бедный ботфреймворк точно так же хостит свою документацию на github.io.

ksenobayt 10 июл 2016 в 15:54

Не открывается.
Тверь, Горсеть — да, та самая, что в своё время «выдавилась» из Зеленограда стараниями Акадо.

У них, как и у многих, кстати, районных провайдеров, вообще подход простейший — и, местами, вынужденный: режут сразу по корню домена и по айпишнику фронта. Столкнулся с этим на примере last.fm: там забанена страница какого-то очень нишевого говнопанк-коллектива, а у меня, в конечном итоге, сломался из-за этого скробблинг.

Выгрузил список, посмотрел внимательно — в блэклисте указаны только три страницы на песни этого коллектива. Позвонил в ТП — без вариантов, только банить по домену да айпишникам, мол, мы бедные-несчастные, на DPI денег нет, делать всё на Squid попросту лень.

khanid 10 июл 2016 в 17:15

У меня провайдер вообще отличиться сумел. Большинство блокировок проводит по ip. Таким образом, у меня недоступны десятки, если не сотни, ресурсов из поисковой выдачи гугла. Выглядит грустно, когда it-форумы не открываются и висит табличка та же, что и при попытке доступа к заблокированным по решению сайтам.
Из последнего — speedtest.net.
Пробившись через первые дуболомные линии ТП, мне рекомендовано набирать исключительно www.speedtest.net.
Так я понял, что провайдер фактически действует через механизмы вайтлистов.

ksenobayt 10 июл 2016 в 19:22

Ну, у меня есть обходное решение, конечно — хостер в Москве, у которого я арендую полдюжины VPS под разные прожекты, не энфорсит блокировки по списку вообще. Учитывая, что у них прямой выход на MSK-IX, плюс полдюжины федеральных провайдеров, это гарантирует практически 100% доступности любого ресурса из блэклиста.

Другое дело, что это всё равно паллиатив, и вышестоящей проблемы идиотов на руководящих местах, и кривых реализаций, сделанных в спешке людьми, которым начальство давят на мозги сроками, не решает.

junkies 10 июл 2016 в 16:18

есть решение суда, к определенному провайдеру. надо смотреть постановление.

-1

schastny 10 июл 2016 в 18:01

жить стало лучше, жить стало веселей, товарищи! Вы там держитесь.

-1

jukkagrao 10 июл 2016 в 19:57

еще может быть вариант решения от самого Cloudflare (утопичный), на своих доступных страницах пользователям Билайна показывать заглушку с призывом сменить провайдера.
Стоит наверное составить список провайдеров и магистральных операторов, которые, блокируют по айпи, чтобы как можно больше людей отказывалост от их услуг.

TearOfTheStar 10 июл 2016 в 19:57

Блокировка эта уже довольно давно (104.2*.*.* и 104.1*.*.*), с января-февраля. У меня например не работает огромная прорва сайтов, даже совершенно безобидные, вроде playstarbound.com или tinybuild.com. МГТС.

Nagh42 10 июл 2016 в 19:57

Провайдер целесообразно тренировать только одним образом — сменой на конкурента, естественно если есть такая возможность.
К сожалению учитывая то, что в последнее время пишут про билайн, улучшений или адекватной реакции от них ждать не приходится.

tehnazavr 10 июл 2016 в 19:57

Подряд. не открывается

smvrnn 10 июл 2016 в 20:28

Beeline Казахстан.
Недоступны минимум 3 сайта из-за таких же высококвалифицированных специалистов.
1. vine.co (\о)
2. php-fig.org (drugs)
3. livelib.ru (pron)

Несколько раз обращался в поддержку, получал ответы на уровне «Мы не виноваты. Никого не ограничиваем. Обращайтесь не к нам. Не наши проблемы.», хотя у других провайдеров все работает.
Уверен, что в нормальной стране за такое ограничение свободы засудили бы.

НЛО прилетело и опубликовало эту надпись здесь

Decker 10 июл 2016 в 21:51

«они блокируют по IP, даже если сайт внесенный в реестр не использует защищенное соединение» — именно.

Melanxolik 10 июл 2016 в 23:43

В обще согласно логики государства, самый логичный шаг теперь будет на законодательном уровне запретить cdn, чтобы не случались такие казусы… ждемс…

Deosis 11 июл 2016 в 10:55

Такими темпами запретят всё, что не в доменной зоне ru.
И провайдерам не нужно настраивать сложные фильтры.

Wedmer 12 июл 2016 в 17:39

Будем жить, как в Китае, да.

ZaEzzz 10 июл 2016 в 23:43

Я помню, что примерно год тому назад CF использовало более 4млн сайтов.
Свой ресурс я так же пускаю через CF, и он периодически не открывается с телефона (просто таймаут), хотя в это время другие ресурсы работают и через других провайдеров тоже все работает. Так что тут все просто — пчелкам пофиг (другим, на самом деле, тоже пофиг).

nikitasius 11 июл 2016 в 09:23

Для России пускайте статику мимо CF. Просто в найстройках nginx (если у вас доступ на таком уровне есть) пропишите использовать к примеру static1.example.com для статики в RU, и static.example.com для всех остальных. Либо, если проект интернациональный и бОльшая часть аудитории знакома с компами, то оставьте все за CF, ибо люди купят vps за 2-3 евро (в месяц) во Франции изи Германии по карте киви (да, работает) или в США на год за 10-15 баксов и смогут лазить без проблем и к вам и на другие сайты по ssh (sock5 прокси). И с resolve DNS на стороне прокси российские провайдеры вообще будут не в курсе куда пользователь лазает.

ZaEzzz 11 июл 2016 в 18:25

А чем в этом случае поможет перенос статики на другой поддомен?
Для своих пользователей, на самом деле, я уже подумываю о возможности предоставлении доступа через прокси — осталось только панельку написать для выставления лимитов, а то я потом устану за трафик платить.

nikitasius 11 июл 2016 в 19:37

Как чем? Если в россии заблокированы IP cloudflare, а другой домен указывает сразу на вас, то статика будет отдаваться без проблем.
Прокси для доступа к своим же сайтам это бред. Если заблокирован какой-то поставщик услуг — просто в обход него. Если же ваш сайт в блокировке (именно ваш и за контент), то в будущем рискуете и проксю в бан отправить.

ZaEzzz 11 июл 2016 в 22:03

Мне просто толку нет от доступной статики при недоступном контенте.
За блокировки я не переживаю — нет ничего незаконного, а прокси я думаю дать пользователям для выхода в открытый мир. Не всем, конечно — пользователи разные бывают.

nikitasius 11 июл 2016 в 22:09

при недоступном контенте

Так значит у вас полностью контент через CF проходит. Проще настроить вариант для России напрямую, подняв нормальное кеширование на сервере. Сам себе cloudflare.

Прокси для ограниченного круга хорошая вещь, у меня такая уже 2 года работает и друзья по ключам лазают (ssh).

ZaEzzz 12 июл 2016 в 20:31

Кеширование было поднято еще задолго до перехода на CF, пуск всего контента через CND целенаправленный.
Хотя с их ценниками, скоро буду возвращать первоначальную схему.

nikitasius 13 июл 2016 в 00:48

TTL к примеру можно обойти на динамике через агрументы и через API запросы на очистку кеша (определенных страниц). Хотя, скорее всего вы там за другие плюшки платите. За какие, если не секрет? Я на бесплатном сижу и мне его хватает.

ZaEzzz 13 июл 2016 в 07:56

Я тоже бесплатный использую, но мне скоро нужно будет знать IP адрес пользователя при подключении, а CF его передает только на плане Enterprise.

nikitasius 13 июл 2016 в 13:15

Дело ваше, enterprise самый дорогой из всех. Вы имеете в виду raw access logs, что на cloudflare? Или IP пользователя в момент запроса контента (когда его еще нет в кеше CF)? Последний и так передается.

ZaEzzz 13 июл 2016 в 18:48

Я имею в виду True-Client-IP Header — он доступен только на интерпрайзном плане.
Сколько я не ловил — на бесплатном тарифе CF передает только свои адреса.

nikitasius 13 июл 2016 в 22:41

108.162.221.15 � — [13/Jul/2016:19:26:50 +0000] «api.evildayz.com» «GET /eve/13years/ajax/2008_10_24_25911.html HTTP/1.1» 200 788 «http://eve.evildayz.com/13years/» «Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)» «66.249.65.18» -> 0.100
162.158.114.120 � — [13/Jul/2016:19:30:21 +0000] «blog-static.saraeff.net» «GET /uploads/2016/01/south_park_wow_computer_lab-1_9662c15fac38a20f.jpg HTTP/1.1» 304 0 «https://geektimes.ru/post/269834/» «Mozilla/5.0 (iPad; CPU OS 9_3_2 like Mac OS X) AppleWebKit/601.1 (KHTML, like Gecko) CriOS/51.0.2704.104 Mobile/13F69 Safari/601.1.46» «46.216.221.96» -> -

"66.249.65.18" и "46.216.221.96" это "$http_x_forwarded_for" в логах nginx.
У меня вот такой формат лога, нашел где-то на хабре, вроде мало что менял:

log_format main '$remote_addr — $remote_user [$time_local] "$host" "$request" ''$status $body_bytes_sent "$http_referer" ''"$http_user_agent" "$http_x_forwarded_for" -> $upstream_response_time';

Правда если в кеше (CF) уже есть копия, то повторного запросы вы не получите.

dev1l 11 июл 2016 в 10:33

Мегафон 4G, Оренбург, открывает.

sergey-gornostaev 11 июл 2016 в 11:01

Билайн не будет реагировать до тех пор, пока клиенты не начнут уходить к другому оператору.

navion 11 июл 2016 в 11:35

Акадо тоже блокирует и это не первая блокировка адреса, которого нет в реестре.

yakovlevmeister 11 июл 2016 в 15:31

Ростелеком, Питер. Блокируется. Error 1003. Direct IP access not allowed

НЛО прилетело и опубликовало эту надпись здесь

kondalex 22 фев 2017 в 21:50

parrotsec.org, тоже на CloudFire, Билайн Москва молча дропает пакеты.
Целый день общаюсь с суппортом-отписчиком. :(

Как это забороть? В смысле, застравить билайн работать, а не блокировать самостоятельно без решения суда всё подряд по маске…

Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Показать лучшие за всё время

Блокировка IP-адресов CloudFlare в Билайн. 149-ФЗ

Комментарии 62

Публикации

Истории