Как интернет-провайдеру выполнить все требования Роскомнадзора

Прошел год как вступили в силу поправки в КоАП РФ, предусматривающие изменение размера ответственности за неисполнение операторами связи обязанности ограничивать или возобновлять доступ к информации, а именно увеличение следующих административных наказаний (штраф):

за неисполнение обязанности по ограничению доступа к сайту, включённому в реестр запрещенных ресурсов;
за неисполнение обязанности по возобновлению доступа, если ресурс исключён из реестра.

Согласно п.3 ст. 14.1 КоАП РФ такие нарушения наказываются штрафом от 3 до 5 тыс.руб. ‒ для должностных лиц, от 10 до 30 тыс.руб. ‒ для предпринимателей без образования юридического лица, от 50 до 100 тыс.руб. ‒ для юридических лиц.

Мы обновили список рекомендации по настройке и работе с Carbon Reductor DPI 8 и рекомендуем с ним ознакомиться, чтобы на 100% обезопасить Ваш бизнес.

Мигрируйте с Carbon Reductor 7 до Carbon Reductor DPI 8

Процесс миграции с Carbon Reductor 7 до Carbon Reductor DPI 8 займет всего лишь час времени и Вы ежемесячно будете получать новейшие возможности. Если Вы готовы заняться переходом, инженеры Carbon Soft Вам помогут. Все, кто работает по ценам 2017 года могут мигрировать бесплатно. Для получения помощи в миграции создайте заявку в Helpdesk.

Интегрируйте Carbon Reductor DPI 8 с АС «Ревизор»

Интеграция с АС «Ревизор» позволяет быстрее оповестить сотрудников технической поддержки и Вашего администратора о возможных неприятностях, например, из-за сбоя аппаратной части сервера или проблемах с зеркалом. После интеграции в web-интерфейсе Вы будете видеть статистику проверок АС «Ревизор» за последние две недели и полностью контролировать ситуацию.

Установите дублирующий сервер Carbon Reductor DPI 8 для параллельной работы

Для того, чтобы подстраховаться от сбоев в аппаратной части сервера или в локальной сети, установите дублирующий сервер с Carbon Reductor DPI 8, бесплатно для тех, кто работает по ценам 2017 года. Установить в сеть его можно
по-разному:

используя отдельное зеркало, в этом случае вся инфраструктура фильтрации будет зарезервирована по схеме 2N и все пакеты будут дублировано перепроверяться;
используя тоже зеркало, что и для основного сервера и Вы сможете переключить зеркало вручную при сбое основного сервера.

Перейдите на новый механизм выгрузки единого реестра от Роскомнадзора

С ним не нужно ждать готовности ЭЦП (электронно-цифровая подпись) для выполнения выгрузки реестра запрещённых ресурсов. С помощью API Роскомнадзора выгрузки осуществляется через логин/пароль. При изменении реестра правила фильтрации обновляются в течение нескольких минут.

Роскомнадзор рекомендует именно новый способ выгрузки и до лета большинство провайдеров перейдут на новую схему. При переходе на новый механизм операторы связи получают период тестовой эксплуатации (2 недели). В этот период меры административного воздействия применяться не будут. Более подробно о новом механизме мы писали ранее.

Настройте Carbon Satellite 8

Мы сделали собственную систему проверки фильтрации трафика Carbon Reductor Satelite 8. Он проверяет HTTP, HTTPS, IP и DNS фильтрацию, в случае обнаружения проблем, уведомляет Вашего администратора. Carbon Satellite 8 предоставляется бесплатно для Carbon Reductor DPI 8.

Настройте свою страницу-заглушку

Установите отдельную (можно виртуальную) машину с Carbon Reductor DPI 8 с IP-адресом, доступным абонентам, оставьте включенной только страницу-заглушку — /app/blockpage. Таким образом Вы получите надёжную, обновляемую и поддерживаемую нами страницу-заглушку, корректно работающую с трафиком, направленным на неё с помощью
DNS-спуфинга и соответствующую всем актуальным требованиям Роскомнадзора.

Интегрируйте сервер фильтрации с DNS-серверами

DNS запросы необходимо фильтровать. Если DNS-запросы идут к DNS-серверу, находящемуся в сети провайдера они могут миновать зеркало трафика, идущее к Carbon Reductor. Поэтому хорошим решением будет интегрировать
DNS-серверы с Carbon Reductor, научив их отвечать на блокируемые домены IP-адресом страницы-заглушки с помощью простого набора скриптов:

unbound;
bind/named;
другие — брать bind/named и дорабатывать под свой DNS-сервер по аналогии или отключать DNSSEC-валидацию.

С учётом роста размеров списков доменов для фильтрации мы рекомендуем использовать unbound, который показал себя наиболее эффективным и надёжным.

Интегрируйте Carbon Reductor с маршрутизатором

В реестре Роскомнадзора есть ресурсы, которые необходимо блокировать полностью по всем портам и протоколам по
IP-адресу. При получении "зеркала трафика" это сделать в полной мере невозможно, поэтому блокировать их лучше на маршрутизаторе. Есть несколько вариантов:

использовать BGP/OSPF Remote Triggered Blackhole;
настроить отправку команд на оборудование для добавления, удаления, получения списка заблокированных IP с помощью events.sh.

Переходите на Аутсорсинг

Инженеры технической поддержки Carbon Soft настроят Carbon Reductor в соответствии с требуемыми стандартами, которые защитят Ваш бизнес от вопросов со стороны РЧЦ или Роскомнадзора. К тому же, на этом тарифном плане предусмотрена страховка от штрафных санкций.

Также важно

придерживаться рекомендованных системых требований;
отказаться от виртуальных машин для системы фильтрации;
уменьшить количество промежуточных узлов в сети между АС «Ревизор» и Carbon Reductor DPI 8;
использовать проверенное сетевое оборудование (коммутаторы доступа);
не игнорировать сообщения от системы мониторинга;
избавиться даже от единичных потерь на стороне зеркалирующего оборудования;
позаботиться о том, чтобы Carbon Reductor не занимался ничем кроме фильтрации, не устанавливать стороннее ПО;
при изменении контактных данных ответственных сотрудников за работу DPI сообщать об этом на портале Helpdesk.