IR-GFW

Description
Analysis, Research, and Findings on the Firewall and Filtering System of the Islamic Regime of Iran.

تحلیل‌ها، تحقیقات و یافته‌ها درباره‌ی فایروال و فیلترینگ رژیم اسلامی ایران.

Website: https://irgfw.report
Group: @irgfwgroup
Boost: t.me/boost/irgfw
Advertising
We recommend to visit

𝐈𝐍 𝐆𝐎𝐃 𝐖𝐄 𝐓𝐑𝐔𝐒𝐓 🕋

We comply with Telegram's guidelines:

- No financial advice or scams
- Ethical and legal content only
- Respectful community

Join us for market updates, airdrops, and crypto education!

Last updated 1 month, 3 weeks ago

[ We are not the first, we try to be the best ]

Last updated 4 months ago

FAST MTPROTO PROXIES FOR TELEGRAM

ads : @IR_proxi_sale

Last updated 4 days, 2 hours ago

3 months, 1 week ago

اختلالات پهنای باند بین‌المللی و اتصالات TLS در ایران

در ساعات گذشته تغییرات محسوسی در پهنای باند اینترنت ایران و میزان تاخیر در ارتباطات به آی‌پی‌های خارجی مشاهده شده است. به‌طور کلی، سرعت و پهنای باند ارتباطات خارجی کاهش یافته و تاخیر به سطوحی بالاتر از مقدار معمول رسیده است.

از سوی دیگر، این تغییرات عمدتاً در ارتباطات TLS نمایان است. به نظر می‌رسد فایروال ایران مانع از باز ماندن طولانی مدت اتصالات TCP-TLS می‌شود، به طوری که این اتصالات پس از چند دقیقه دچار اختلال یا محدودیت می‌گردند. با این حال، بلافاصله پس از ایجاد یک اتصال جدید و انجام فرآیند هندشیک، تونل به درستی عمل می‌کند، تا زمانی که پس از چند دقیقه دوباره با محدودیت مواجه شود. این وضعیت در همه آی‌پی‌های خارجی مشاهده نمی‌شود، بلکه بیشتر مربوط به دیتاسنترها و محدوده‌های CIDR معروف خارجی است که تحت نظارت فایروال ایران قرار دارند.

با این حال، به‌طور دقیق نمی‌توان گفت که این تغییرات عمداً اعمال شده یا به دلیل افزایش بار ترافیکی اینترنت و یا حتی سیستم Anti-DDoS در شرایط امنیتی، رخ داده است. اما محدودیت در اتصالات TCP-TLS بیشتر به نظر می‌رسد که ناشی از تنظیم قوانین خاص در فایروال باشد (یا فیلترینگ، و یا قوانین DDoS-Protection برای جلوگیری از حملات سایبری) و ارتباط چندانی با افزایش بار ترافیکی نداشته باشد.

irgfw.report
@irgfw

3 months, 2 weeks ago

در چند ساعت گذشته، به دنبال اتفاقات اخیر، خبرهایی بدون منبع مشخص در مورد قطعی یا اختلالات اینترنتی در ایران منتشر شده. اما تا این لحظه، اطلاعیه‌ی رسمی‌ای از سوی مرکز افتا و پدافند غیرعامل منتشر نشده.

تنها شرکت زیرساخت، اعلام کرده که به دیتاسنترهای ایرانی مثل آروان، آسیاتک، پیشگامان و هاستیران اطلاع داده شده که از ساعت ۱۲ شب تا حوالی ۸ صبح، به علت "تغییرات زیرساختی" ممکن است سرورها و سرویس‌های ایرانی دچار اختلال شوند. این "تغییرات زیرساختی" شامل خیلی از فرآیند‌ها و معانی میتونه باشه و قطعی نمیشه گفت که حتما برای فایروال ایران و Iran-Access کردن اکثر پهنای باند ایران باشه.

ولی از چند دقیقه پیش، افزایش پینگ به سمت برخی از آی‌پی‌های خارجی (خصوصا کلادفلر) طبق رادار مهسا مشاهده شده.

به طور کلی، هنوز اختلال چشمگیری توی اینترنت ایران دیده نمیشه، ولی این به این معنی نیست که توی چند ساعت یا روز آینده اوضاع تغییر نکنه.

Website: irgfw.report
Telegram: @irgfw

4 months ago

از حدود ساعت 10 شب به وقت ایران، اختلال شدیدی از سمت زیرساخت به بعضی از دیتاسنتر های خارجی از جمله Akamai و Vultr ایجاد شده. این اختلال در رادار آروان و همینطور رادار مهسا هم دیده میشه.

این اختلالات هم در اتصالات Non-TLS دیده میشه و هم در TLS. بطوریکه در بعضی از سرور های ایرانی (با فایروال زیرساخت) اتصال هیچگونه پروتکلی به این رنج های خارجی میسر نیست. درحالی که نسبتا ترافیک QUIC و UDP بدون مشکل متصل هست.

چند روز پیش هم فایروال اصلی زیرساخت آپدیت شده و بسیار سختگیر تر به نسبت آیپی های خارجی عمل میکنه. به اینگونه که کلا مهم نیست چه پروتکلی استفاده میکنید، بعد از تعداد هندشیک و حجم بسیار کمی، آیپی خارجی به کل و از ریشه بلاک میشه.

میشه گفت با توجه به نزدیک شدن سالگرد مهسا امینی، این رفتار ها از اینترنت ایران و فایروالهاش، طبیعی هست! و در دوران نرمال و پایداری نیستیم.

Website: irgfw.report
Telegram: @irgfw

8 months, 3 weeks ago

طی تست هایی که داشتیم، متوجه شدیم امروز صبح فایروال ایرانسل آپدیت شده.

این آپدیت به گونه ای هست که درخواست های HTTP رو بلاک کرده که در نتیجه روی tcp-http با Host header ها تاثیر گذاشته. بعضی کاربر ها هم گزارش کردن که اگر Host header حذف بشه، مجدد اتصال برقرار میشه. اما خب میشه روند پیشرفت فایروال ایران خصوصا ایرانسل رو دید. فعلا روی HTTP کار میکنن و در تلاشن که باگ های قسمت Host و HTTP رو برطرف کنند. تقریبا در زمینه ی HTTP به همراه اول شبیه میشه.

این بلاک شدن HTTP میتونه موقتی و در حد تست باشه، ولی تا اینجا که تست صورت گرفته، آپدیت عمدی فایروال ایرانسل (و فایروال های شبیه بهش مثل آسیاتک، پیشگامان، مبین نت و ...) هست.

@irgfw

10 months ago

بر اساس تحلیل‌ها و گزارش‌های اخیر، به نظر می‌رسه که محدودیت‌های مربوط به پروتکل UDP در سیستم فایروال ایران کاهش یافته‌. این امر باعث شده که حتی اتصالات ساده ی WireGuard نیز به خوبی برقرار بشن و سرعت آپلود و جیتر در سطح قابل قبولی باشه. همچنین، این تغییرات موجب شده‌اند که راه هایی نظیر WARP (حتی از طریق کلاینت‌ 1.1.1.1) و OpenVPN مبتنی بر UDP نیز به راحتی وصل بشن.

با این وجود، توصیه میشه که به این پروتکل‌ها بیش از حد تکیه نشود. در شرایط حساس و امنیتی، فایروال میتونه با انسداد کامل UDP، تمام این روش‌های اتصال را به سرعت قطع کند. (درست مثل 9 ماه پیش به قبل)

کاهش اختلالات در پروتکل UDP ممکنه نشان‌دهنده‌ی این باشه که سیستم فیلترینگ در حال آموزش و شناسایی دقیق‌تر این نوع از ترافیک‌ها است. در گذشته، به علت ناتوانی در تشخیص دقیق ترافیک‌های مختلف، فایروال به سادگی کل ترافیک UDP را مسدود می‌کرد. اما اکنون، به نظر می‌رسد که با باز گذاشتن این پروتکل، فایروال قصد داره داده‌های بیشتری جمع‌آوری کند و به صورت موثرتری ترافیک‌های VPN و پروکسی رو شناسایی کنه.

این تغییر میتونه برای تمام پروتکل های دیگه هم صدق کنه (مثل Cisco/SSTP/SoftEther و ...) برای همین نمیشه گفت که مثلا فیلترینگ "شل" کرده. بلکه برعکس، احتمالا داره نمونه دیتای زیادی جمع میکنه و آموزش میبینه.

@irgfw

12 months ago

در روزهای اخیر پست ها و آموزش های زیادی منتشر میشن مبنی بر ایران اکسز کردن سرور خارجی برای جلوگیری از فیلترینگ های فایروال جدید ایران. خواستم یک توضیحاتی بدم در این مورد و شفاف سازی هایی انجام بدم.

ما یک بحث Probe داریم و یک بحث Brute-Force

خب فرض کنید یک سرور داریم که میخوایم به‌عنوان یک WebServer جا بزنیم (یعنی تقریبا تمام ترکیباتی که با Vless/Vmess/Trojan/Naive و... ساخته میشه). این‌وب‌سرور قراره از هرکجای دنیا قابل دسترسی باشه و نه فقط ایران، مگر اینکه لوکیشن خود سرور ایران باشه (مثل سایت‌های دولتی و ... که ایران‌اکسس شدن). حالا درنظر بگیرین سروری (وبسرور یا وبسایت ساده) که مثلاً در آلمان هست و تمام دنیا بهش دسترسی دارن رو با هر روشی فقط و فقط به آی‌پی‌های ایران محدود کنیم؛ آیا فریاد نمیزنه که من یک سرور VPN هستم؟ (بحث در مورد کشورهای چین و روسیه فرق میکنه)

حالا میرم سر بحث اون 2 مورد.
داستان بروت‌فورس (تمام پورت‌ها از جمله SSH/FTP/HTTPS/RDP و...) از ابتدای ساخته‌شدن VPSها و ماشین‌های مجازی وجود داشته، که افرادی با ربات تلاش می‌کنن رمز روت سرور یا یک‌سری ضعف‌های امنیتی پیدا کرده (اکسپلویت) و از اون‌ سرور سوءاستفاده کنن. این‌قضیه ربطی به فیلترینگ نداره و اتفاقا برای همین‌موضوع پیشنهاد میشه یک فایروال (مثلUFW) روی سرور نصب باشه که باهاش تمام پورت‌های فاقداستفاده بسته بشن، پورت SSH تغییر کنه و فقط از SSH Key برای ورود به سرور استفاده بشه، و دسترسی به چین و روسیه مسدود بشه.

ما باید همیشه با Fact و چیزهایی که تست و اثبات شدن جلو بریم. درحال‌حاضر سند و مدرکی مبنی‌بر اینکه از چین و روسیه، سرورهارو برای فیلترینگِ ایران، پروب میکنن وجود نداره. بر مبنای تست‌هایی که در اسکیل بزرگ داشتیم، سرورها کاملا از ایران و به موازاتش از چین و روسیه هم پروب شدند، اما اکثر این کانفیگ‌های پابلیش‌شده (پروب شده) هم سر از گروه‌های چینی درآورده بودن!
بله درسته که ایران با روسیه در زمینه ی امنیت اطلاعات توافق کرده ولی اگر تحقیق کنید میبینید که فیلترینگ روسیه اونقدرها هم سفت و سخت نیست. فایروال روسیه بعنوان Roskomnadzor ازش یاد میشه که محدودیت هاش در گزارش های ایرانی و خارجی از چین و ایران کمتر بوده! خب اگر قرار باشه فایروال ایران هم مثل روسیه باشه، طبیعتا محدودیت های کمتری داشتیم. پس زیاد نمیشه روی این قضیه حساب باز کرد.

حالا این آی‌پی‌هایی که ما داریم، نمیدونیم واقعا در قدیم چجوری ازش استفاده شده! شاید یک چینی/روسی، شدوساکس ران کرده بوده و پروب شده (ریشه ی Active-Probe، از چین و سال 2019 با پروتکل شدوساکس شروع شد). چون وقتی یک آیپی پروب میشه، احتمالا آی‌پی سرور در یک دیتابیسی ذخیره میشه که بعدا بتونن دوباره پروب یا سرور رو تست کنن. در مجموع متغیرهای بسیار زیادی این‌وسط هست، که ما عمدتا نمی‌تونیم ببینیمش. شبکه اینترنت چین، خیلی گسترده‌تر از این‌حرفهاست و شبکه ایران واقعا جلوش هیچه. برای همین نباید تصمیم بگیریم که چین اومده به فیلترینگ ایران داره کمک میکنه! میتونیم صرفا احتمال بدیم که به‌خاطر هیستوری آی‌پی بوده که قبلا در چین خاکستری شده، حالا تو ایران یک‌دفعه ترافیک میگیره و همون پروب‌های چینی (بعلاوه ی پروب های ایرانی) دست به‌کار میشن!

خلاصه بخوایم بگیم:
بلاک کردن کشور های چین و روسیه، کار خوبی هست و در جهت Security Hardening، امنیت سرور رو بالا میبره. ولی دلیلی بر فیلتر نشدنِ سرور نمیشه. بلکه اون پروب های اصلی ای که از فایروال ایران میان، آیپی های ایرانی دارن. پروب ها باید هندل بشن و به جوابی که میخوان برسن. یکی‌از کارهایی که Reality با پارامتر dest انجام میده دقیقا همینه. یکی از قوی‌ترین anti-probe هارو همین Reality داره که بدون مشکل، درخواست‌های غیرپروکسی رو به dest هدایت میکنه و پروب‌ها، جواب مدنظرشون رو میگیرن.

بحث Probe ها، حدودا 4 ماه پیش خیلی داغ بود و فایروال ایران کاملا ازش استفاده میکرد (دست و پا شکسته). ولی با آپگرید های اخیر فایروال، هم Passive هست و هم Active. و حتی میشه گفت وزن Passive هم الان بیشتره همونطور که میبینیم کورکورانه بعضی از وبسایت های ساده هم بلاک شدن و از هفته های گذشته تا الان تعداد پروب ها به نسبت 4 ماه پیش خیلی کمتر شدن.

درحال حاضر، رفتار های فایروال ایران در حال تغییر و آپدیت هست و کاملا مشخصه که درحال تست هستند. اگر دقت کنید پیام های "آپدیت پهنای باند" و "بروزرسانی زیرساخت" و از این قبیل پیام ها از سوی دیتاسنترها و شرکتهای ایرانی زیاد شدن. این نشون میده فعلا فایروال ایران به پایداری نرسیده و درصد خطای بسیار بالایی در تشخیص سرور های VPN داره.

@irgfw

We recommend to visit

𝐈𝐍 𝐆𝐎𝐃 𝐖𝐄 𝐓𝐑𝐔𝐒𝐓 🕋

We comply with Telegram's guidelines:

- No financial advice or scams
- Ethical and legal content only
- Respectful community

Join us for market updates, airdrops, and crypto education!

Last updated 1 month, 3 weeks ago

[ We are not the first, we try to be the best ]

Last updated 4 months ago

FAST MTPROTO PROXIES FOR TELEGRAM

ads : @IR_proxi_sale

Last updated 4 days, 2 hours ago