Я параноик, или корпоративные брандмауэры цензурируют целые страны? [закрыто]

В последнее время, в последний год или около того, я заметил, что все более и более трудным становится доступ к определенным типам сайтов, особенно в таких непривилегированных странах, как Иран или Россия.

Например, только что я пытался зайти на сайт Министерства обороны России ( http://eng.mil.ru/en/index.htm ), сайт, на котором у меня есть законные причины, связанные с бизнесом, и истекло время. Я попробовал тот же сайт через европейский прокси и не имел проблем с подключением. Затем я попробовал tracert, и это было результатом:

Моя интерпретация этого заключается в том, что IP блокируется брандмауэром компании. Я спросил наш ИТ-отдел, какова политика блокировки IP для сети, и мне сказали, что политика определяется не нашей компанией, а поставщиком услуг брандмауэра и что она является «секретной и проприетарной» для поставщика и что они (то есть ИТ) не контролировал эту политику.

Какая история здесь? Являются ли поставщики брандмауэров всего лишь блокирующими целые страны?

Просто для смеха я решил попробовать разные страны, чтобы увидеть, что произойдет:

Finland       ok
Poland        ok
Russia        blocked
Ukraine       blocked
Estonia       blocked
Turkey        blocked
Saudi Arabia  blocked
Afghanistan   ok
Iraq          blocked
Georgia       ok
Armenia       blocked
Uzbekistan    ok

Хорошо, я могу посещать сайты в Узбекистане и Грузии, но не в Армении или на Украине? Кто составляет эту логику?

Я видел множество поставщиков, выполняющих фильтрацию контента в зависимости от страны происхождения. В Китае и России обычно по умолчанию включена фильтрация или, по крайней мере, настроены какие-то оповещения. Это потому, что они часто являются источниками вредоносных атак. Я не покупаю линию, что ваш ИТ-отдел не контролирует ее. Любой достойный поставщик позволит вам изменить настройки по умолчанию для своих продуктов.

Скорее всего, это делается не на уровне IDS / IPS, а на уровне брандмауэра (с помощью блокировки списка IP-адресов, в некотором роде менее эффективным) или на уровне маршрутизации с помощью метода, известного как выборочное черное удержание (Сильно эффективен и блокирует маршрут от даже заходя на свой роутер вообще).

Смысл этого неясен - возможно, потому что страны, которые вы перечислили, часто являются источниками атак, хотя на самом деле не больше, чем США, и решительные злоумышленники в любом случае просто пойдут дальше и обойдут стороной ... Может быть, если вы работая в достаточно большой организации, которая - они параноики - так или иначе сами по себе об угрозах от IP-адресов, исходящих оттуда. В любом случае, это своего рода временная мера безопасности для многих целей и целей, и вам нечего в себе знать. Туннель или прокси!

Вполне возможно использовать IP-местоположение для блокировки диапазонов IP-адресов, связанных с определенными странами. Существует много споров о том, насколько это эффективно, и я бы, конечно, не предложил слепо включать его кому-либо, но дело за самим бизнесом, чтобы определить, имеет ли он законный бизнес с компаниями, происходящими из определенной области и, следовательно, риски блокирования диапазонов адресов, связанных с этой областью, и риски не блокирования этих адресов.

Хотя геоблокировка не остановит определенных злоумышленников, она увеличивает сложность атаки на вашу сеть из этого места (и имейте в виду, что это может означать, что участники ботнета находятся в этом месте), и это также может уменьшить количество «фонового шума» от случайные злоумышленники и сценаристы, облегчающие просмотр более решительных атак.

Этот пример взят из статьи базы знаний Sonicwall о том, как настроить фильтры такого типа.

В любом случае, если у вас есть бизнес-необходимость подключиться к бизнесу в заблокированной стране, я не предлагаю пытаться проникнуть через брандмауэр, как предлагалось в других ответах, а скорее сделать это проблемой управления: поговорите с вашим менеджером попросите их поговорить с менеджером ИТ-отдела и дать понять, что для такого доступа существует бизнес-требование. Маловероятно, что нет никакого способа сконфигурировать блоки такого типа, и если нет вероятности того, что произойдет какой-либо инцидент безопасности, и ваши попытки обойти блоки, которые являются частью корпоративной ИТ-политики, обнаружены, вы очень скорее всего, останется виновным в нарушении безопасности.