В приложениях на основе модели и приложениях для взаимодействия с клиентами (Dynamics 365 Sales, Dynamics 365 Customer Service, Dynamics 365 Field Service, Dynamics 365 Marketing и Dynamics 365 Project Service Automation) используется несколько URL-адресов Microsoft для обеспечения безопасности, услуг и функций. Однако на вашем компьютере или в сети вашей организации доступ к части этих URL-адресов может быть заблокирован. При блокировании любых требуемых URL-адресов приложения на основе модели и приложения для взаимодействия с клиентами будут работать неправильно или перестанут работать вообще.
Если на вашем компьютере или в сети вашей организации заблокирован требуемый URL-адрес, может отображаться сообщение об ошибке сети или сервера. Например, может выводиться одно из следующих сообщений об ошибке.
«Указанный URL-адрес сервера Microsoft Dynamics CRM Dynamics 365 Server не отвечает. Попросите администратора убедиться, что сервер включен, и повторите попытку».
«Возникла проблема при обмене данными с сервером Dynamics 365 Server. Возможно, сервер недоступен».
Эти URL-адреса можно разблокировать на компьютере, добавив их в список доверенных сайтов в браузере.
Если следующая процедура не разблокирует требуемые для приложений на основе модели и приложений для взаимодействия с клиентами URL-адреса, попросите системного администратора разблокировать эти URL-адреса в сети организации.
Разблокировка URL-адресов приложений в Internet Explorer
На панели Explorer щелкните или нажмите значок Сервис (белая шестеренка), а затем щелкните или нажмите Свойства обозревателя.
Щелкните или нажмите вкладку Безопасность > Надежные узлы > Узлы.
В поле Добавить в зону следующий узел введите URL-адрес для своей организации. Например: https://contoso.crm.dynamics.com
Щелкните или нажмите Добавить > Закрыть > ОК.
Список других URL-адресов, которые может потребоваться добавить для разблокировки, см. в разделе URL-адреса, доступные по Интернету и необходимые для Microsoft Dynamics CRM Online
У одной моей подписчицы случилась беда в блоге и она попросила совета. Как всегда я обратилась к специалистам интернета и вот нашла одну интересную статью, которую и предлагаю вам, в решении данной проблемы.
Авастом пользуюсь уже длительное время, скоро будет два года, сначала конечно поставил чтоб попробовать, но привык к нему. Первый раз столкнулся с такой проблемой, аваст стал выдавать сообщения «Заражение URL: mal» «Вредоносный url блокирован», при этом перестали грузиться и работать все браузеры установленные на компьютере. Разберем как избавиться, я постараюсь подробно описать, что делал и как искал выход.
Здесь хочу сказать что это виноваты не добросовестные конкуренты, которые воткнули на сайт вредоносный код. Аваст с блокировкой не справился, Вирус URL: mal аваст определяет уже при работе браузера и блокирует его в процессе, из-за этого браузер вылетает практически всегда. То есть он допускает начальное заражение компьютера, но не дает распространяться заразе дальше. Сообщение URL: mal это не вирус, это извещение антивируса, о том что данный веб-адрес (URL) заблокирован, так как числится в базе данных службы вредоносным. А вот файл который пытается без вашего ведома подключиться к какому то url адресу, эту заразу надо найти и удалить. Претензий к авасту у меня всё равно нет, я его знаю, он меня не подводил, у всех же бывают ошибки, тем более что я ведь пользуюсь бесплатной версией для домашнего использования, и одно заражение за два года это не беда.
Я опишу весь путь поиска зловреда, хотя не все попытки его найти увенчались у меня успехом. Думаю полный путь поиска супостата будет полезен другим пользователям кто столкнется с такой проблемой. Нужные мне антивирусные утилиты качал с другого компа, так как на зараженном ноуте браузеры не работали и доступа в интернет не было. Утилиты лучше скачивать с официальных сайтов ссылки все по тексту оставляю, но если кому нужна помощь по скачиванию утилит, так как вирусы могут блокировать доступ к антивирусным сайтам, отпишитесь на форуме, ссылка внизу статьи, залью для вас на свой сайт.
4. Проверяем комп и чистим с помощью программы CCleaner, всё что делали в пункте 1-3 и в пункте 4 необходимо для выполнения крайнего пункта, который и позволил быстрее найти вирус. Программу CCleaner лучше скачать с официального сайта, программа русскоязычная трудностей не вызовет. Советую выполнить пункты «Очистка» и «Реестр», мусору на моем компе было много, всё удалил даже не думал. Очистка не решила проблему, но выполнение всех пунктов указанных выше привело к возможности и необходимости применить утилиту uVS.
5. Утилита uVS это последнее, что у меня оставалось в запасе для обнаружения вируса, для её использования нужны специальные знания, у меня их пока не достаточно, но пришлось прибегнуть к её помощи. Скачать прогу uVS лучше всего с официального сайта, ребята которые её разрабатывают очень грамотные, жаль что у них нет своего форума. Можно было бы у них опыту набраться и поучиться. Сайт у них из двух страниц, но не сомневайтесь в работоспособности программы. Распаковывайте архив, запускайте утилиту через start.exe. Далее переходим по закладке «Запустить под текущим пользователем»
после запуска утилита автоматически проанализирует систему и выдаст результат, пример моего анализа на картинке:
Подозрительных элементов, то есть с подозрением на содержание в себе вируса, программа много найти не должна, так как комп был предварительно проверен утилитами сканирования и очищен от мусора прогой CCleaner. Знаний маловато, чтоб самому скрипты делать и скриптами проверять, только на специализированных форумах у хелперов в этом вопросе можно помощи попросить. Я искал зараженный файл методом научного тыка, по опыту просмотра имеющихся процессов в автозапуске и анализу времени создания подозрительных файлов, легко вычислить, что проблему в моем случае создает файл orroetj.dll, он единственный кто был создан несколько часов назад, остальные файлы на компе используются давно. Переходим по указанному адресу C:Windows/System32/ находим файл, делаем его резервную копию, на всякий случай вдруг ошибаемся и это не вирус, в папку мои документы (там он не повредит компу), и удаляем. Пробуем запустить браузер, всё работает!
Следите за следующими выпусками » Советы от знатоков » с интересной для вас информацией в блоге от Любаши К.
Если антивирус не дает открыть нужный сайт, не стоит отключать защиту. Рассказываем, как настроить список доверенных ресурсов.
Это происходит очень редко, но иногда у защитных решений случаются ложные срабатывания — и вполне безобидный ресурс вызывает подозрение. Если вы уверены в надежности сайта, а защита не пускает, то эту проблему можно решить, не отключая защиту. Разберем, как это сделать на примере Kaspersky Internet Security и Kaspersky Security Cloud.
Остановлен переход на недоверенный сайт — что делать
Увидев сообщение «Остановлен переход на недоверенный сайт», прежде всего подумайте, когда и как вы планируете пользоваться соответствующей страницей. Если вы не планируете заходить на нее в будущем, быстрее всего — и безопаснее тоже — разрешить доступ к ней только на один раз.
Это можно сделать прямо из браузера, даже не заходя в настройки. Антивирус не запомнит ваш выбор и в следующий раз опять предупредит вас — чтобы вы могли принять обоснованное решение.
Разовая разблокировка сайта
Если же вы планируете часто заходить на сайт, лучше добавить его в список доверенных ресурсов.
Как настроить список доверенных сайтов в Kaspersky Internet Security или Kaspersky Security Cloud
Защитное решение проверяет веб-страницы и сайты, чтобы оценить их безопасность. Если вам регулярно нужно обращаться к сайту, который антивирус считает небезопасным, вы можете добавить его в список доверенных и исключить из этой проверки раз и навсегда (или пока не передумаете).
Настройки Kaspersky Internet Security или Kaspersky Security Cloud
Параметры веб-антивируса в Kaspersky Internet Security или Kaspersky Security Cloud
Список расширенных настроек веб-антивируса в Kaspersky Internet Security или Kaspersky Security Cloud
Окно для добавления доверенных сайтов
Добавление доверенного веб-адреса
Отключение проверки трафика с доверенного сайта
Если нужно углубиться в настройки
Более подробно о настройке веб-антивируса, в том числе о составлении списка доверенных сайтов в Kaspersky Internet Security, можно прочитать в Базе знаний «Лаборатории Касперского». Для пользователей Kaspersky Security Cloud также есть подробная статья по проверке веб-страниц.
Заключение
Помните, что злоумышленники могут взломать даже известные сайты — и использовать их в своих целях. Кроме того, киберпреступники часто маскируют вредоносные страницы под легальные веб-ресурсы. Когда антивирус сигнализирует об угрозе, лучше перестраховаться и не заходить на сайт, даже если вы ему доверяете. Но если вам очень нужно перейти по ссылке, то минимизируйте риски — не отключайте защиту полностью, а добавьте сайт в исключения.
Каждый раз при загрузке компьютера возникает окно Nod32 Адрес заблокирован. URL- адреса: http://cdn.bitmedianetwork.com/network/index-edge.html. IP-адрес: 87.248.207.253.
Первое что приходит в голову- ноутбук заражен и его надо лечить, сканировать Nod32 или другими антивирусами, на самом деле для устранения этой ошибки сканирование на вирусы не поможет. Сообщение возникает благодаря программе uToorent в которой показывается реклама с заблокированного антивирусом Nod32 сайта. Если вы откроете uTorrent, то увидите в нижнем левом углу место где должна быть размещена реклама.
Причина, из-за которой возникает ошибка Адрес заблокирован. URL- адреса: http://cdn.bitmedianetwork.com/network/index-edge.html. IP-адрес: 87.248.207.253, ясна, теперь ее необходимо устранить, для этого нужно заблокировать рекламу в uTorrent.
Далее перейдите в меню «Дополнительно».
В поле Фильтр впишите:
и в каждом из них поменяйте значение на *false (для этого выберите ниже значение НЕТ).
Тема довольно изъезжена, знаю. К примеру, есть отличная статья, но там рассматривается только IP-часть блоклиста. Мы же добавим еще и домены.
В связи с тем, что суды и РКН блокируют всё направо и налево, а провайдеры усиленно пытаются не попасть под штрафы, выписанные «Ревизорро» — сопутствующие потери от блокировок довольно велики. Да и среди «правомерно» заблокированных сайтов много полезных (привет, rutracker)
Я живу вне юрисдикции РКН, но на родине остались родители, родственники и друзья. Так что было решено придумать легкий для далеких от ИТ личностей способ обхода блокировок, желательно вовсе без их участия.
В этой заметке я не буду расписывать базовые сетевые вещи по шагам, а опишу общие принципы как можно реализовать эту схему. Так что знания как работает сеть вообще и в Linux в частности — must have.
Типы блокировок
Для начала освежим в памяти что же блокируется.
В выгружаемом XML от РКН несколько типов блокировок:
Мы их сведем для простоты к двум: IP и домен, а из блокировок по URL будем просто вытаскивать домен (точнее за нас это уже сделали).
Хорошие люди из Роскомсвободы реализовали прекрасный API, через который можно получать то, что нам нужно:
Доступ к заблокированным сайтам
Для этого нам нужен какой-нибудь маленький зарубежный VPS, желательно с безлимитным траффиком — таких много по 3-5 баксов. Брать нужно в ближнем зарубежье чтобы пинг был не сильно большой, но опять-таки учитывать, что интернет и география не всегда совпадают. А так как никакого SLA за 5 баксов нет — лучше взять 2+ штуки у разных провайдеров для отказоустойчивости.
Далее нам необходимо настроить зашифрованный туннель от клиентского роутера до VPS. Я использую Wireguard как самый быстрый и простой в настройке т.к. клиентские роутеры у меня тоже на базе Linux (APU2 или что-то на OpenWRT). В случае каких-нибудь Mikrotik/Cisco можно использовать доступные на них протоколы вроде OpenVPN и GRE-over-IPSEC.
Идентификация и перенаправление интересующего траффика
Можно, конечно, завернуть вообще весь интернет-траффик через зарубеж. Но, скорее всего, от этого сильно пострадает скорость работы с локальным контентом. Плюс требования к полосе пропускания на VPS будут сильно выше.
Поэтому нам нужно будет каким-то образом выделять траффик к заблокированным сайтам и выборочно его направлять в туннель. Даже если туда попадёт какая-то часть «лишнего» траффика, это всё равно гораздо лучше, чем гонять всё через тоннель.
Для управления траффиком мы будем использовать протокол BGP и анонсировать маршруты до необходимых сетей с нашего VPS на клиентов. В качестве BGP-демона возьмём BIRD, как один из наиболее функциональных и удобных.
С блокировками по IP всё понятно: просто анонсируем все заблокированные IP с VPS. Проблема в том, что подсетей в списке, который отдает API, около 600 тысяч, и подавляющее большинство из них — это хосты /32. Такое количество маршрутов может смутить слабые клиентские роутеры.
Поэтому было решено при обработке списка суммировать до сети /24 если в ней 2 и более хоста. Таким образом количество маршрутов сократилось до
100 тысяч. Скрипт для этого будет дальше.
Домены
Тут сложнее и способов есть несколько. Например, можно поставить прозрачный Squid на каждом клиентском роутере и делать там перехват HTTP и подглядывание в TLS-хендшейк с целью получения запрашиваемого URL в первом случае и домена из SNI во втором.
Но из-за всяких новомодных TLS1.3+eSNI анализ HTTPS с каждым днем становится всё менее реальным. Да и инфраструктура со стороны клиента усложняется — придется использовать как минимум OpenWRT.
Поэтому я решил пойти по пути перехвата ответов на DNS-запросы. Тут тоже над головой начинает витать всякий DNS-over-TLS/HTTPS, но эту часть мы можем (пока что) контролировать на клиенте — либо отключить, либо использовать свой сервер для DoT/DoH.
Как перехватывать DNS?
Тут тоже может быть несколько подходов.
Что такое DNSTap?
Это клиент-серверный протокол, основанный на Protocol Buffers и Frame Streams для передачи с DNS-сервера на некий коллектор структурированных DNS-запросов и ответов. По сути DNS-сервер передает метаданные запросов и ответов (тип сообщения,IP клиента/сервера и так далее) плюс полные DNS-сообщения в том (бинарном) виде в котором он работает с ними по сети.
Важно понимать, что в парадигме DNSTap DNS-сервер выступает в роли клиента, а коллектор — в роли сервера. То есть DNS-сервер подключается к коллектору, а не наоборот.
На сегодняшний день DNSTap поддерживается во всех популярных DNS-серверах. Но, например, BIND во многих дистрибутивах (вроде Ubuntu LTS) часто собран почему-то без его поддержки. Так что не будем заморачиваться пересборкой, а возьмём более легкий и быстрый рекурсор — Unbound.
Чем ловить DNSTap?
Есть некоторое количество CLI-утилит для работы с потоком DNSTap-событий, но для решения нашей задачи они подходят плохо. Поэтому я решил изобрести свой велосипед, который будет делать всё что необходимо: dnstap-bgp
Я собрал RPM и DEB пакеты для удобной установки. Должны работать на всех относительно свежих OS с systemd, т.к. зависимостей у них никаких нет.
Схема
Итак, приступим к сборке всех компонентов воедино. В результате у нас должна получиться примерно такая сетевая топология:
Логика работы, думаю, понятна из диаграммы:
На сервере для маршрутов к заблокированным сайтам у меня внутри BIRD используется отдельная таблица и с ОС она никак не пересекается.
В этой схеме есть недостаток: первый SYN пакет от клиента, скорее всего, успеет уйти через отечественного провайдера т.к. маршрут анонсируется не мгновенно. И тут возможны варианты в зависимости от того как провайдер делает блокировку. Если он просто дропает траффик, то проблем нет. А если он редиректит его на какой-то DPI, то (теоретически) возможны спецэффекты.
Также возможны чудеса с несоблюдением клиентами DNS TTL, что может привести к тому что клиент будет юзать какие-то устаревшие записи из своего протухшего кеша вместо того чтобы спросить Unbound.
На практике у меня ни первое ни второе не вызывало проблем, but your mileage may vary.
Настройка сервера
Для удобства раскатывания я написал роль для Ansible. Она может настраивать как сервера, так и клиенты на базе Linux (рассчитано на deb-based дистрибутивы). Все настройки достаточно очевидны и задаются в inventory.yml. Эта роль вырезана из моего большого плейбука, поэтому может содержать ошибки — pull requests welcome 🙂
Пройдёмся по основным компонентам.
При запуске двух BGP-демонов на одном хосте возникает фундаментальная проблема: BIRD никак не хочет поднимать BGP-пиринг с локалхостом (или с любым локальным интерфейсом). От слова совсем. Гугление и чтение mailing-lists не помогло, там утверждают что это by design. Возможно есть какой-то способ, но я его не нашёл.
Можно попробовать другой BGP-демон, но мне нравится BIRD и он используется везде у меня, не хочется плодить сущности.
Поэтому я спрятал dnstap-bgp внутрь network namespace, которое связано с корневым через veth интерфейс: это как труба, концы которой торчат в разных namespace. На каждый из этих концов мы вешаем приватные p2p IP-адреса, которые за пределы хоста не выходят, поэтому могут быть любыми. Это тот же механизм который используется для доступа к процессам внутри любимого всеми Docker и других контейнеров.
Для этого был написан скрипт и в dnstap-bgp был добавлен уже описанный выше функционал перетаскивания себя за волосы в другой namespace. Из-за этого его необходимо запускать под root либо выдать бинарнику CAP_SYS_ADMIN через команду setcap.
