Продолжение поста «Небольшое обращение для администраторов сайта»⁠⁠4

Но мы продолжаем следить за тем, что происходит в этих ваших интернетах с точки зрения сетей.

Вот на днях организовалась задача от Минцифры - сформировать список фильтрации для отсечения всего иностранного трафика. Задача прилетела уже от исполнителей, то есть в нашем случае от стадионов Москвы. Идея вроде здравая, позволяет защитить сайты и ресурсы от возможных атак из-за границы. Если бы не одно "но".

Для начала можно попробовать поискать уже готовые решения. Находятся они махом:

https://habr.com/ru/post/659655/

https://lite.ip2location.com/russian-federation-ip-address-r...

И как бы все хорошо, если бы не один нюанс - в случае использования решения от Habr вы получите все что угодно но не диапазоны сетей РФ. Почему так? Потому что база RIPE создается самими пользователями RIPE и в принципе можно указать для своей AS любую страну, где она при этом анонсируется не важно. Второе - в рамках блока AS можно анонсировать любое количество сетей и не важно в какой стране они прописаны. Третье, в рамках одной сети могут существовать подсети разнесенные географически, то есть условно 194.87/16 сеть Релком относящаяся к Чехии (был у них скандальчик), а вот ее подсети это арендованные блоки и 194.87.83/24 не так давно была российской сетью.

Второй способ тоже не лучше. Они используют отчеты IANA, что мало отличается от RIPE, и технически содержат ту же ошибку - никто не может гарантировать, что сеть анонсируется в той стране к которой приписана. Более того, это заграничный ресурс, так что доверять ему у нас смысла особого нет.

Есть третий путь. Путь самой Минцифры. Это база "суверенного интернета". Есть она у Роскомнадзора и сети РФ обязаны по закону обновлять там данные. Вот только получить из нее список сетей невозможно. Так что бейтесь головой о стену как умеете.

Ну и небольшой комментарий по ситуации - стадионы Москвы зачастую выходят в сеть интернет на откровенно устаревшем оборудовании. Это может быть к примеру Cisco 2821. Количество отдельно анонсируемых префиксов в РФ составляет около 14000. Да, их можно попытаться сгруппировать, получим, число, около 6000 префиксов. Инвертируем задачу, то есть не запрещая остальные сотни тысяч префиксов, а разрешая наши 6000 мы получаем 6000 строк файрволла. Cisco 2821 при таком ACL тупо сдохнет по нехватке памяти. Как в прочем и какой-нибудь 4331. Решать подобное задачи нужно на оборудовании совсем другого сегмента. Правда купить его уже негде. Но мы не гордые, возьмем к примеру сервер и поставим туда Linux, современный Xeon и 32 гига оперативки должны справиться, купить их пока можно. Только вот где взять базу российских IP, где взять денег, ведь бюджет расписан и почему это должен делать конечник а не операторы связи, непонятно. Но Минцифра распорядилась, решайте.