Белы спіс

Белы спіс вырашае, якія сайты ідуць праз абаронены канал, якія — наўпрост, а якія не адкрываюцца наогул. Гэта ваш асабісты пералік «патрэбных» адрасоў, і ён важнейшы за правілы па краінах: калі дамен патрапіў у спіс, ён ідзе па сваім запісе, а не па краіне, да якой належыць яго адрас.

Адкрываецца спіс у левым меню — «Спісы» → «Белы спіс». Побач два суседнія экраны: «Закваскі» — гатовыя наборы даменаў, якія дадаюцца ў спіс адным націскам, і «Фільтры» — абаронныя спісы, якія адсяваюць рэкламу і небяспечныя старонкі і на маршрут не ўплываюць.

Старонка адкрываецца адразу, нават калі правілаў шмат: спачатку з’яўляюцца шапка, укладкі і групы, а самі правілы — праз імгненне пасля адкрыцця (на месцы табліцы на секунду відаць «Загрузка…»). Раскрыццё групы паказвае яе дамены. Калі браўзер не выконвае JavaScript, табліца не з’явіцца — панэль працуе толькі з уключаным JavaScript.

Як уладкаваны белы спіс

Запісы аб’ядноўваюцца ў групы: у кожнай групы адно правіла на ўсе яе запісы. Правіла выбіраецца ў слупку «Злучэнне», прама ў радку групы:

• абароненае злучэнне (напрыклад, WireGuard Main) — група ідзе праз гэты канал;
• «Наўпрост» — міма абароны, звычайным шляхам;
• «Блакаваць» — доступ закрыты.

Побач з назвай групы відаць каляровая кропка яе правіла, а ў слупку «Запісаў» — колькі адрасоў і краін унутры. Раскрыйце групу стрэлкай: унутры відаць асноўны сайт, залежныя адрасы і знойдзеныя лікавыя адрасы.

Запісам можа быць не толькі імя сайта:

• дамен — напрыклад kvaspro.su (разам з ім працуюць і яго паддамены);
• IP-адрас — напрыклад 203.0.113.10;
• падсетка — напрыклад 192.168.1.0/24, гэта значыць «усе адрасы такой-та сеткі».

Усе тры віды запісаў раўнапраўныя: і ў майстры, і пры загрузцы з файла, і ў гатовых наборах. Калі адрас уведзены няправільна, праграма скажа пра гэта прама — пра адрас, а не пра дамен.

Што яшчэ ёсць на экране:

• Укладкі — «Усе даныя», па адной укладцы на кожнае актыўнае злучэнне, а пры разыходжаннях яшчэ дзве: «Канфлікт маршруту (N)» і «Канфлікты фільтраў (N)».
• Пошук — калі сайта ў спісе няма, падказка «Дадаць у Белы спіс» адкрые майстар з ужо падстаўленым адрасам.
• Слупкі — «Група / Дамен», «Запісаў», «Злучэнне», «Зменены», «Дзеянні».
• Дзеянні радка — уключыць або выключыць, «Абнавіць IP» (зноў знайсці лікавыя адрасы), змяніць (двойчы пстрыкнуць па назве), выдаліць. На вузкім экране яны хаваюцца пад кнопкай «…».
• Агульныя дзеянні над адзначаным — уключыць або адключыць, змяніць злучэнне, перанесці запісы ў іншую групу і выдаліць; «Апрацаваць выбраныя» зноў вызначае лікавыя адрасы ў адзначаных запісаў.
• Правы слупок — лічыльнікі «Абаронена», «Наўпрост» і «Заблакавана», кнопкі «+ Дадаць» (майстар) і «Прымяніць».
• Захаванне і загрузка файлам — «Захаваць у файл» і «Загрузіць з файла» (фарматы JSON, YAML і TXT).

Спосаб 1. Майстар дадання дамена

Запісы дадае пакрокавы майстар: ён праводзіць ад адраса сайта да гатовай запісы і сам шукае дапаможныя адрасы.

Як адкрыць: сіняя кнопка «+» («Дадаць элемент або групу») у панэлі над табліцай, падказка «Дадаць у Белы спіс» у пошуку, кнопка «Дадаць першы запіс» у пустым спісе або «+ Дадаць» у правым слупку.

У пачатку майстар пытае спосаб дадання: «Па дамене, IP або падсетцы», «Па краіне» або «Дадаць закваску».

Па дамене, IP або падсетцы — тры крокі

У левым слупку майстра відаць шкала крокаў: Дамен · Сканаванне · Гатова.

1. Дамен. Упішыце адзін або некалькі адрасоў у поле «Дамены, IP і падсеткі» — кожны пацвярджаецца клавішай Enter, прабелам або коскай і ператвараецца ў метку-«чып»; лішнюю метку можна прыбраць крыжыкам. Акрамя імён сайтаў тут прымаюцца IP-адрасы (203.0.113.10) і падсеткі (192.168.1.0/24) — іх можна ўводзіць уперамешку з даменамі, тып вызначаецца сам. Тут жа задаюцца «Група (тэг)» (да якой групы аднесці запісы — імя падставіцца па першым адрасе, яго можна паправіць або стварыць новую групу), «Злучэнне» (праз які канал пойдзе група) і сцяжок «Сканаваць залежнасці» — пошук дапаможных адрасоў, без якіх сайт грузіцца не цалкам (даступны).
2. Сканаванне. Квас Про шукае звязаныя адрасы трыма спосабамі і паказвае ход працы спісам: DNS, HTML-спасылкі, IP-адрасы. Насупраць кожнага спосабу — галачка і лік знаходак («+N даменаў»). Сканаванне датычыцца даменаў; IP-адрас або падсетка дадаюцца адразу, без абыходу.
3. Гатова. Загаловак крока — «Выберыце дамены са спісу». Адзначце галачкамі патрэбнае, ёсць «Выбраць усе» і «Адмяніць усе», лічыльнік «Выбрана N з M» і паметкі ў запісаў: «уручную», «паддамен», «знешні», «транзітыўная», «Знойдзена праз …». Побач — праверка даступнасці («Даступны» / «Недаступны») і знойдзеныя лікавыя адрасы. Завяршае крок кнопка «Дадаць у белы спіс (N)».

Жывое назіранне за даменам

На кроку «Гатова» ёсць блок «Дапоўніць жывым трафікам»: ён ловіць звароты, якіх не бачыць звычайны абыход (запыты да праграм-пасярэднікаў, лічыльнікаў, службаў імгненных паведамленняў).

1. Націсніце «Пачаць назіранне» (пакуль тунэль рыхтуецца, кнопка называецца «Адкрыць і назіраць»).
2. Майстар паведаміць «Наладжваю тунэль…» і адкрые асобнае ваконца з сайтам.
3. У майстры пойдзе справаздача: «Назіраем за прыладай …: знойдзена …, прайшло … з … с». Захоп ідзе да дзвюх хвілін.
4. Папрацуйце з сайтам у адкрытым ваконцы: прагартайце старонку, адкрыйце раздзелы, запусціце відэа — многія залежнасці падгружаюцца толькі пры дзеяннях.
5. Націсніце «Спыніць і дадаць» — знойдзеныя адрасы пойдуць у белы спіс.

Па краіне — два крокі

Шкала крокаў: Краіны · Гатова.

1. Краіны. Укажыце «1. Група (тэг)» і «2. Злучэнне», затым у пункце «3. Выберыце краіны» адзначце патрэбныя краіны — ёсць пошук і лічыльнік «Выбрана краін: N». Правіла групы вызначае дзеянне: абаронена — трафік краін ідзе праз выбранае злучэнне; наўпрост — міма абароны; блакаваць — доступ да краін закрыты. Правіла мяняецца ў групы ў белым спісе.
2. Гатова. Запісы-краіны дадаюцца кнопкай «Дадаць (N)».

Сцяжок «АКРАМЯ выбраных краін» перавяртае правіла: яно прымяняецца не да адзначаных краін, а да ўсіх краін свету, акрамя іх. Лічыльнік мяняецца на «Акрамя краін: N», а кнопка — на «Дадаць «акрамя» (N)». Майстар папярэджвае: у рэжыме «акрамя» сайты выбраных краін будуць адкрывацца наўпрост, як без абароны, а ўсё астатняе група павядзе па сваім правіле. У табліцы такі запіс пазначаецца значком «акрамя». Падрабязны разбор — у хуткім старце.

Гатовым наборам — два крокі

Шкала крокаў: Закваскі · Гатова.

1. Выбар закваскі. «Закваска» — гатовая аўтарская падборка сайтаў па тэме. Знайдзіце патрэбныя праз пошук і адзначце адну або некалькі: лічыльнік пакажа «Выбрана заквасак: N», у кожнай відаць лік даменаў. Кнопка — «Дадаць (N)».
2. Гатова. Майстар паведаміць «Закваскі дададзеныя» і пералічыць, колькі даменаў патрапіла ў белы спіс.

Падрабязней пра самі наборы — на старонцы «Закваскі».

Змяніць або выдаліць дададзенае

Усё далейшае робіцца ў табліцы белага спісу — майстар для праўкі не патрэбны: двойчы пстрыкнуць па назве групы або запісы правіць яе на месцы, «Абнавіць IP» зноў шукае лікавыя адрасы, «Уключыць» / «Адключыць» выводзіць запіс з працы, не выдаляючы яе, «Выдаліць» і «Выдаліць групу» прыбіраюць лішняе.

Спосаб 2. «Закваскі» — гатовыя наборы з сеткі

Самы хуткі шлях, калі трэба адразу шмат сайтаў: на старонцы «Закваскі» выбіраеце гатовыя наборы даменаў і дадаяце іх у белы спіс адной кнопкай.

Як гэта кладзецца ў белы спіс:

• кожнай выбранай заквасцы адпавядае свая група з імем набору (напрыклад, «Месенджары» або «Банкі») — яе відаць у табліцы белага спісу;
• група атрымлівае злучэнне — першае з вашых карыстальніцкіх злучэнняў; калі карыстальніцкіх злучэнняў няма, запісы сыходзяць па правіле «Наўпрост» (ніколі ў «Блакаваць»). Злучэнне можна змяніць у табліцы ў любы момант;
• дамены набору трапляюць у групу з крыніцай «закваска»: іх можна правіць, адключаць і выдаляць як звычайныя запісы — пасля дадання вы працуеце ўжо са сваёй копіяй, а сам набор застаецца ў каталозе;
• разам з даменамі дадаюцца лікавыя дыяпазоны набору (у каталозе ў такіх набораў стаіць паметка «N IP»), а дамены з рэестра «Расія» і дамены абаронных спісаў пры даданні прапускаюцца — іх месца ў фільтрах;
• адразу пасля дадання Квас Про вызначае лікавыя адрасы новых запісаў, а ў тых, што не адказваюць, з’яўляецца паметка «не развязваецца».

Як праверыць вынік: у каталозе ў дададзенай закваскі з’яўляецца паметка «У спісе», а ў белым спісе — новая група з лікам запісаў. Калі змены не набылі моц, націсніце «Прымяніць».

Спосаб 3. «Маршрутызацыя ядра»: адзначыць і дадаць

Трэці шлях — узяць запісы прама з журнала. Ён выручае, калі патрэбны адрас не ўдаецца ўспомніць або калі сайт звяртаецца да дзесятка дапаможных даменаў, якіх не відаць у майстры: рэкламныя і лічыльнікавыя дамены, службы дастаўкі змесціва, серверы аўтарызацыі.

1. Адкрыйце «Абслугоўванне» → «Журнал» і ўкладку «Маршрутызацыя ядра». У табліцы відаць час, дамен або значэнне, лікавы адрас, кліент і злучэнне. У першым слупку паказанае імя сайта, якое ўдалося вызначыць (у тым ліку з адказаў рэзолвера); калі імені няма (праграма ходзіць па зашытым адрасе), сумленна паказаны адрас. Раскрыйце радок, каб убачыць вынік маршрутызацыі: першым радком — што вырашыў роўтар для гэтага злучэння, ніжэй крыніца і ідэнтыфікатар запісу.
2. Прайдзіце патрэбны сайт як звычайна — прагартайце старонку, адкрыйце раздзелы, запусціце відэа: звароты запішуцца ў журнал.
3. Адзначце галачкамі патрэбныя радкі. Над табліцай з’явіцца кнопка з плюсам — «Дадаць у групу БС» (БС — белы спіс).
4. Націсніце яе і выберыце групу ў ваконцы «У якую групу дадаць дамены (N)?»: насупраць кожнай групы відаць лік яе запісаў. Калі груп яшчэ няма, ваконца падкажа стварыць групу ў белым спісе.

Адзначаныя радкі сыходзяць у выбраную групу разам з яе злучэннем: і дамен, і знойдзены лікавы адрас запісу ўстаюць на маршрут групы. Пасля дадання выбар здымаецца, а лічыльнік запісаў у групы расце — гэта і ёсць пацверджанне, што запісы прынятыя.

Спосаб 4. Загрузіць спісам з файла

Калі спіс ужо сабраны загадзя, яго можна загрузіць кнопкай «Загрузіць з файла»: майстар пакажа, колькі запісаў знойдзена, што супала з ужо існымі (іх можна прапусціць або перазапісаць) і колькі новых запісаў будзе дададзена. Файл можа ўтрымліваць дамены, IP-адрасы і падсеткі — радком кожнае значэнне, адным слупком; лішнія слупкі не абавязковыя. Зваротная аперацыя — «Захаваць у файл» (усе запісы або толькі адзначаныя).

З тэрмінала

Спіс можна правіць і без панэлі — камандамі kvaspro на самой прыладзе. Каманды працуюць праз тую ж службу і тую ж базу, што і панэль, таму дададзенае з тэрмінала правіла адразу відаць на экране «Белы спіс», а разбор адраса аднолькавы: значэнне можна ўстаўляць цалкам, са схемай, шляхам і портам, і кірыліцай («банк.рф» захоўваецца як xn--80ab2al.xn--p1ai).

kvaspro whitelist list                        першыя 500 правілаў спісу
kvaspro whitelist list --all                  увесь спіс
kvaspro whitelist list --group банк           правілы адной групы
kvaspro whitelist add банк.рф                 дадаць дамен
kvaspro whitelist add https://мой-сервис.рф/кабинет --group работа
kvaspro whitelist remove банк.рф              выдаліць правіла

• add дадае правіла. Без ключоў яно трапляе ў групу «наўпрост» — трафік ідзе звычайным шляхам, міма абароненага канала. Група задаецца ключом --group (неіснуючая ствараецца), маршрут запісу — ключом --connection («Наўпрост», «Дом» або ўнутраны ідэнтыфікатар). Від правіла выводзіцца са значэння сам; для кода краіны яго называюць яўна: kvaspro whitelist add ru --type country --group страны.
• remove выдаляе правіла па відзе і значэнні. Ключ --group — страхоўка: калі правіла ляжыць у іншай групе, каманда адмовіць і назаве яе.
• list паказвае від, значэнне, групу, злучэнне і ці ўключанае правіла. Ключ --group пакідае адну групу, --all дачытвае спіс цалкам (па змаўчанні друкуюцца першыя 500 правілаў: служба прымае абмежаваны лік запытаў у секунду).

Від правіла задаецца і яўна — ключом --type: suffix (дамен і яго паддамены), keyword (слова ў адрасе), regex (шаблон), ipv4, ipv6, cidr (падсетка), country (код краіны). Без ключа від вызначаецца па значэнні — як у панэлі. Ключ --timeout задае, колькі секунд чакаць адказу службы (па змаўчанні 10, не менш за 1): на павольным роўтары яго можна павялічыць.

Для сцэнарыяў ёсць машынны вывад: --format json (у add і remove — дакумент з полем outcome і самім правілам, у list — адказ службы як ёсць, прыдатны для jq) і --quiet — толькі значэнні. Даныя ідуць у стандартны вывад, паведамленні — у паток памылак, таму вывад зручна перанакіроўваць у файл.

Што каманда адказвае. Коды вяртання — адна лесвіца ў ўсіх трох каманд: 0 — зроблена (у тым ліку «правіла ўжо ёсць» і «выдаляць няма чаго»), 1 — адмова (значэнне не разабрана, група або злучэнне не знойдзеныя, канфлікт, мяжа спісу, адмова службы), 2 — памылка ў самой камандзе (невядомы ключ, недапушчальнае значэнне), 3 — служба не адказвае, не чытаюцца канфігурацыя або токен. Сцэнарыю дастаткова праверыць код вяртання — разбіраць тэкст не трэба. У кожнай каманды ёсць і рускае напісанне: kvaspro whitelist добавить, удалить, список.

Паўтор — не памылка. Каманды прыводзяць спіс да патрэбнага стану: паўторнае даданне ўжо існага правіла і выдаленне адсутнага завяршаюцца паспяхова і нічога не мяняюць («Правіла ўжо ёсць…», «выдаляць няма чаго»). Калі правіла ўжо ляжыць у іншай групе або з іншым злучэннем, каманда адмовіць і скажа, дзе яно на самой справе: моўчкі пераносіць правіла нельга — ад групы і злучэння залежыць маршрут.

Правіла-краіна з набору «АКРАМЯ» з тэрмінала не выдаляецца: remove працуе толькі са звычайнымі запісамі, такі набор правіцца ў панэлі.

Калі дададзены дамен перакрыты ўключаным абаронным фільтрам, каманда папярэдзіць пра гэта і ўсё роўна дадасць правіла — гэтак жа паступае панэль. Разбрацца з такім выпадкам дапамагае ўкладка «Канфлікты» (гл. раздзел «Калі небяспечны сайт патрапіў у белы спіс»).

Змены трапляюць у журнал. Кожная праўка з тэрмінала запісваецца ў «Журнал» → «Журнал аўдыту» з выканаўцам «Камандны радок»: відаць, што менавіта дадалі або выдалілі, з якой групы і калі. Туды ж цяпер трапляюць і праўкі, зробленыя ў самой панэлі — даданне, змяненне, выдаленне і масавыя дзеянні (выканаўца «Сеанс»).

Тэгі і групы

Тэгі дапамагаюць раскладаць сайты па сэнсе («праца», «відэа», «пакупкі») і прымяняць да іх агульныя правілы. Гэта зручна, калі запісаў шмат: замест праўкі кожнага радка вы кіруеце адразу цэлым наборам — напрыклад, пераносіце выбраныя запісы ў іншую групу або мяняеце ім злучэнне адной кнопкай.