در روزهای اخیر پست ها و آموزش های زیادی منتشر میشن مبنی بر ایران اکسز کردن سرور خارجی برای جلوگیری از فیلترینگ های فایروال جدید ایران. خواستم یک توضیحاتی بدم در این مورد و شفاف سازی هایی انجام بدم.
ما یک بحث Probe داریم و یک بحث Brute-Force
خب فرض کنید یک سرور داریم که میخوایم به‌عنوان یک WebServer جا بزنیم (یعنی تقریبا تمام ترکیباتی که با Vless/Vmess/Trojan/Naive و... ساخته میشه). این‌وب‌سرور قراره از هرکجای دنیا قابل دسترسی باشه و نه فقط ایران، مگر اینکه لوکیشن خود سرور ایران باشه (مثل سایت‌های دولتی و ... که ایران‌اکسس شدن). حالا درنظر بگیرین سروری (وبسرور یا وبسایت ساده) که مثلاً در آلمان هست و تمام دنیا بهش دسترسی دارن رو با هر روشی فقط و فقط به آی‌پی‌های ایران محدود کنیم؛ آیا فریاد نمیزنه که من یک سرور VPN هستم؟ (بحث در مورد کشورهای چین و روسیه فرق میکنه)
حالا میرم سر بحث اون 2 مورد.
داستان بروت‌فورس (تمام پورت‌ها از جمله SSH/FTP/HTTPS/RDP و...) از ابتدای ساخته‌شدن VPSها و ماشین‌های مجازی وجود داشته، که افرادی با ربات تلاش میکنن رمز روت سرور یا یک‌سری ضعف‌های امنیتی پیدا کرده (اکسپلویت) و از اون سرور سوءاستفاده کنن. این‌قضیه ربطی به فیلترینگ نداره و اتفاقا برای همین‌موضوع پیشنهاد میشه یک فایروال (مثلUFW) روی سرور نصب باشه که باهاش تمام پورت‌های فاقداستفاده بسته بشن، پورت SSH تغییر کنه و فقط از SSH Key برای ورود به سرور استفاده بشه، و دسترسی به چین و روسیه مسدود بشه.
ما باید همیشه با Fact و چیزهایی که تست و اثبات شدن جلو بریم. درحال‌حاضر سند و مدرکی مبنی‌بر اینکه از چین و روسیه، سرورهارو برای فیلترینگِ ایران، پروب میکنن وجود نداره. بر مبنای تست‌هایی که در اسکیل بزرگ داشتیم، سرورها کاملا از ایران و به موازاتش از چین و روسیه هم پروب شدند، اما اکثر این کانفیگ‌های پابلیش‌شده (پروب شده) هم سر از گروه‌های چینی درآورده بودن!
بله درسته که ایران با روسیه در زمینه ی امنیت اطلاعات توافق کرده ولی اگر تحقیق کنید میبینید که فیلترینگ روسیه اونقدرها هم سفت و سخت نیست. فایروال روسیه بعنوان Roskomnadzor ازش یاد میشه که محدودیت هاش در گزارش های ایرانی و خارجی از چین و ایران کمتر بوده! خب اگر قرار باشه فایروال ایران هم مثل روسیه باشه، طبیعتا محدودیت های کمتری داشتیم. پس زیاد نمیشه روی این قضیه حساب باز کرد.
حالا این آی‌پی‌هایی که ما داریم، نمیدونیم واقعا در قدیم چجوری ازش استفاده شده! شاید یک چینی/روسی، شدوساکس ران کرده بوده و پروب شده (
ریشه ی Active-Probe، از چین و سال 2019 با پروتکل شدوساکس شروع شد). چون وقتی یک آیپی پروب میشه، احتمالا آیپی سرور در یک دیتابیسی ذخیره میشه که بعدا بتونن دوباره پروب یا سرور رو تست کنن. در مجموع متغیرهای بسیار زیادی این‌وسط هست، که ما عمدتا نمی‌تونیم ببینیمش. شبکه اینترنت چین، خیلی گسترده‌تر از این‌حرفهاست و شبکه ایران واقعا جلوش هیچه. برای همین نباید تصمیم بگیریم که چین اومده به فیلترینگ ایران داره کمک میکنه! میتونیم صرفا احتمال بدیم که به‌خاطر هیستوری آیپی بوده که قبلا در چین خاکستری شده، حالا تو ایران یک‌دفعه ترافیک میگیره و همون پروب‌های چینی (بعلاوه ی پروب های ایرانی) دست به‌کار میشن!
خلاصه بخوایم بگیم:
بلاک کردن کشور های چین و روسیه، کار خوبی هست و در جهت
Security Hardening، امنیت سرور رو بالا میبره. ولی دلیلی بر فیلتر نشدنِ سرور نمیشه. بلکه اون پروب های اصلی ای که از فایروال ایران میان، آیپی های ایرانی دارن. پروب ها باید هندل بشن و به جوابی که میخوان برسن. یکی‌از کارهایی که Reality با پارامتر dest انجام میده دقیقا همینه. یکی از قوی‌ترین anti-probe هارو همین Reality داره که بدون مشکل، درخواست‌های غیرپروکسی رو به dest هدایت میکنه و پروب‌ها، جواب مدنظرشون رو میگیرن.
بحث Probe ها، حدودا 4 ماه پیش خیلی داغ بود و فایروال ایران کاملا ازش استفاده میکرد (دست و پا شکسته). ولی با آپگرید های اخیر فایروال، هم Passive هست و هم Active. و حتی میشه گفت وزن Passive هم الان بیشتره همونطور که میبینیم کورکورانه بعضی از وبسایت های ساده هم بلاک شدن و از هفته های گذشته تا الان تعداد پروب ها به نسبت 4 ماه پیش خیلی کمتر شدن.
درحال حاضر، رفتار های فایروال ایران در حال تغییر و آپدیت هست و کاملا مشخصه که درحال تست هستند. اگر دقت کنید پیام های "آپدیت پهنای باند" و "بروزرسانی زیرساخت" و از این قبیل پیام ها از سوی دیتاسنترها و شرکتهای ایرانی زیاد شدن. این نشون میده فعلا فایروال ایران به پایداری نرسیده و درصد خطای بسیار بالایی در تشخیص سرور های VPN داره.
@irgfw
