Доброго времени суток!
Роскомнадзор вновь подкидывает работы и заставляет некоторых пользователей понервничать.
У нас есть страница-заглушки: http://denypage.ru. Давненько, когда модуль DNS-фильтрации стал необходим для прохождения проверок ревизора без пропусков, мы приняли довольно тяжелое решение о том, чтобы при обновлении включить этот модуль.
Наша цель была в том, чтобы зафильтровать ресурсы, часто меняющие IP хоть как-то (резолвер этого не гарантирует), не дожидаясь долгой человеческой реакции большого числа людей, чтобы наши дорогие клиенты не получили штрафы.
Взглянули на нагрузку, которую она создаёт и в принципе ничего особо страшного не было. Доросла она где-то до 100-400 тысяч запросов в час и это никого не беспокоило.
После обновления АС «Ревизор», 21 декабря — нагрузка на страницу выросла до 7 000 000 запросов в час, и это только те, которые достучались до контейнера с nginx, обслуживающим эту страницу. Многие запросы стали заканчиваться ошибками HTTP/502 Gateway Timeout, которые фиксируются ревизором. К штрафу это, скорее всего, не приведёт, т.к. ответа от запрещенного ресурса не было, но из РЧЦ к Вам придут с вопросом: «а почему у Вас нет страницы-заглушки?».
Чтобы фильтрация работала как положено нужно настроить собственную страницу заглушку.
Настройка заглушки, варианты:
На отдельном сервере
Чтобы АС «Ревизор» её успешно распознавал, следуйте инструкции (имеющиеся веб-сервера использовать не рекомендуется, потому что инструкция требует выделить отдельный сервер, занимающийся ТОЛЬКО страницей-заглушкой, в противном случае отправленные с помощью DNS-спуфинга редиректы не будут обработаны этим сервером):
https://github.com/carbonsoft/reductor_blockpages
После настройки страницы надо указать в двух местах адрес, доступный всем абонентам и АС «Ревизор»:
- Menu -> Настройка алгоритма фильтрации -> URL страницы-заглушки.
- Menu -> Настройка алгоритма фильтрации -> IP для DNS-ответов.
На сервере с Carbon Reductor
Не рекомендуется при большой нагрузке. (1000+ абонентов/несколько ревизоров).
Включить можно в «menu -> Настройка алгоритма фильтрации -> Заглушка на этом сервере».
После настройки страницы надо указать в двух местах адрес, доступный всем абонентам и АС Ревизор:
- Menu -> Настройка алгоритма фильтрации -> URL страницы-заглушки.
- Menu -> Настройка алгоритма фильтрации -> IP для DNS-ответов.
Почему нельзя использовать нашу страницу заглушку в продакшене
- Она изначально предназначена исключительно для целей тестирования работоспособности продукта во время демо-периода, а также в являлась временным решением многомесячной давности.
- Канал до неё имеет ограничение в 100 Мбит/с, ресурсы процессора тоже имеют свои ограничения. Мы не можем гарантировать её 100% доступность.
- Также мы не можем гарантировать то, что ревизор не опознает недоступность нашей страницы-заглушки как доступность блокируемого сайта.
В конце концов, отправлять трафик абонентов и ревизора на нашу заглушку — лишняя нагрузка аплинков, да и интернет штука далекая от 100% надёжности. В общем, единственный способ правильно решить проблему — разворачивать заглушку на отдельном сервере.
Если Вы пропустили статью о том, что обязательно нужно настроить, чтобы не иметь пропусков — пройдитесь по ней.
