Настройка BGP для обхода блокировок, или «Как я перестал бояться и полюбил РКН»

Блокировок 60.000 строк — ни VPS, ни мой сервер, ни скорее всего OpenVPN просто так не понтянут такие объёмы.

Для передачи маршрутов в конфиге OpenVPN используется опция route, которая требует "широкий" формат маски в виде 255.255.x.x. Как его получить из "короткого" стандартными утилитами — я не изучал, но в силу специфики томского интернета у меня завалялся готовый скрипт, который когда-то использовался для обратной цели — передать список маршрутов, которые в туннель заворачивать не надо.

Скрипте выложен на Github (https://github.com/rpv-tomsk/iplist). Умеет аггрегировать подсетки, формировать конфиг OpenVPN. Написан на Perl, использует Net::CIDR::Lite.

Судя по дате изменения файла, последний раз он был изменен 7 лет назад, поэтому сильно не пинайте, если будет работать не так, как ожидается. Перед публикацией я его слегка причесал и протестировал.

Итак, как выгрузить список префиксов в OpenVPN:

1) В конфигурации OpenVPN-сервера указываем путь к скрипту, который сформирует файл динамической конфигурации:

client-connect ./client-connect

2) Содержимое скрипта размещаем в файле /etc/openvpn/client-connect :

#!/bin/bash

TYPE="$script_type"
CCD="$1"

if [ "$TYPE" = "client-connect" ]; then
    cp /etc/openvpn/blacklist $CCD
    exit 0
fi

exit 0

3) В конфигурации OpenVPN-клиента необходимо прописать опцию max-routes:

max-routes 150

Надеюсь, что такого значения будет достаточно.

4) Скачиваем утилиту и формируем файл /etc/openvpn/blacklist с директивами выставления маршрутов на клиенте:

#Взято из статьи
cut -d";" -f1 /root/z-i/dump.csv| tr '|' '\n' |  tr -d ' ' > /root/blacklist/tmpaddr.txt

#Путь к скачанной утилите iplist_ovpn необходимо скорректировать
cat /root/blacklist/tmpaddr.txt | grep / | ./iplist_ovpn -vg > /etc/openvpn/blacklist

Перезапускать OpenVPN-сервер после изменения /etc/openvpn/blacklist не требуется.
Маршруты прилетают на клиент только при подключении, поэтому для обновления необходимо переподключение клиента — в этом минус решения, по сравнению с получением маршрутов средствами BGP или другой динамической маршрутизации.
Если что-то не заработает — смотрим в логи, они бывают полезны.

вся таблица не влазит в один сэт

Муртазин вроде относительно неплохо обозревал мобильные телефоны… вот их и обозревал бы дальше. :/ Кто у него на кого напал-то, кроме нападения РКН на собственную страну?

Прошу заметить, не просто аналитик, а ведущий мобильный аналитик!

Ну, нельзя же официально признаться, что заблокировать не получилось. Поэтому внезапно выясняется, что тревога была учебная, граната не дефектная а тоже учебная, и в процессе обучения были достигнуты выдающиеся успехи. Осталось только оплатить убытки пострадавшим в процессе, но кто будет этими мелочами заниматься, в то время когда надо праздновать успешное завершение учёбы.

Глупо загонять такое количество адресов в таблицу машрутизации.

Можно пойти ещё на шаг дальше.
При изменениях не перегеренить всю таблицу, а воспользоваться возможностями самого гита и вытащить только изменения относительно HEAD. Удалить старые, добавить новые.
Если хотя бы раз в день делать, каждый набор изменений — скрипт размером в килобайт-полтора.

Ну, тут проверять надо. Если роутер загибается от такого обилия маршрутов можно попробовать другое решение. Знаю что частенько бывает, что кастомные прошивки на OpenWrt/LEDE часто не поддерживают тот самый "кремниевый сахар" устройств.

Кстати, большую таблицу маршрутизации тоже можно разбить на более мелкие диапазоны теми же правилами маршрутизации ip rule — тоже может полегчать.