🚀 go-pugleaf

wtorek, 21 czerwca 2022 o 19:54:40 UTC+2 Jacek Marcin Jaworski napisał(a):
> Dzień dobry! 
> 
> Ustaliłem programem tcpdump, że Firefox na starcie łączy się z tymi serwerami: 
> 34.107.221.82 = 82.221.107.34.bc.googleusercontent.com = 
> 13.227.153.127 = server-13-227-153-127.muc51.r.cloudfront.net = 
> 34.107.221.82 = 82.221.107.34.bc.googleusercontent.com = 
> 35.161.245.58 = ec2-35-161-245-58.us-west-2.compute.amazonaws.com = 
> 34.213.92.18 = ec2-34-213-92-18.us-west-2.compute.amazonaws.com = 
> 34.120.208.123 = 123.208.120.34.bc.googleusercontent.com = 
> 34.120.208.123 = 123.208.120.34.bc.googleusercontent.com = 
> 93.184.220.29 = 93.184.220.29 = 
> 93.184.220.29 = 93.184.220.29 = 
> 216.58.215.74 = waw02s16-in-f10.1e100.net = 
> 216.58.209.3 = sof01s12-in-f3.1e100.net = 

Niestety po skutecznym zblokowaniu jednych adresów Firefox łączy się do innych o podobnych domenach.
> Teraz pojawia się pyt.: 
> Jak te adresy prawidłowo poblokować? 
> 
> Ja widzę takie opcje: 
> 1. UFW: Mam taki zestaw reguł: 
> To Action From 
> -- ------ ---- 
> Anywhere on wlp0s20f3 LIMIT Anywhere 
> Anywhere DENY 34.107.221.82/udp 
> Anywhere DENY 34.107.221.82/tcp 
> 34.107.221.82/udp DENY Anywhere 
> 34.107.221.82/tcp DENY Anywhere 
> Anywhere DENY 13.227.153.127/udp 
> Anywhere DENY 13.227.153.127/tcp 
> 13.227.153.127/udp DENY Anywhere 
> 13.227.153.127/tcp DENY Anywhere 
> Anywhere DENY 35.161.245.58/udp 
> Anywhere DENY 35.161.245.58/tcp 
> 35.161.245.58/udp DENY Anywhere 
> 35.161.245.58/tcp DENY Anywhere 
> Anywhere DENY 34.213.92.18/udp 
> Anywhere DENY 34.213.92.18/tcp 
> 34.213.92.18/udp DENY Anywhere 
> 34.213.92.18/tcp DENY Anywhere 
> Anywhere DENY 34.120.208.123/udp 
> Anywhere DENY 34.120.208.123/tcp 
> 34.120.208.123/udp DENY Anywhere 
> 34.120.208.123/tcp DENY Anywhere 
> Anywhere DENY 93.184.220.29/udp 
> Anywhere DENY 93.184.220.29/tcp 
> 93.184.220.29/udp DENY Anywhere 
> 93.184.220.29/tcp DENY Anywhere 
> Anywhere DENY 216.58.215.74/udp 
> Anywhere DENY 216.58.215.74/tcp 
> 216.58.215.74/udp DENY Anywhere 
> 216.58.215.74/tcp DENY Anywhere 
> Anywhere DENY 216.58.209.3/udp 
> Anywhere DENY 216.58.209.3/tcp 
> 216.58.209.3/udp DENY Anywhere 
> 216.58.209.3/tcp DENY Anywhere 
> Anywhere (v6) on wlp0s20f3 LIMIT Anywhere (v6) 

Prawidłowy zestaw to:
To                         Action      From
--                         ------      ----
Anywhere on wlp0s20f3      LIMIT       Anywhere                  
Anywhere                   DENY        34.107.221.82/udp         
Anywhere                   DENY        34.107.221.82/tcp         
Anywhere                   DENY        13.227.153.127/udp        
Anywhere                   DENY        13.227.153.127/tcp        
Anywhere                   DENY        35.161.245.58/udp         
Anywhere                   DENY        35.161.245.58/tcp         
Anywhere                   DENY        34.213.92.18/udp          
Anywhere                   DENY        34.213.92.18/tcp          
Anywhere                   DENY        34.120.208.123/udp        
Anywhere                   DENY        34.120.208.123/tcp        
Anywhere                   DENY        93.184.220.29/udp         
Anywhere                   DENY        93.184.220.29/tcp         
Anywhere                   DENY        216.58.215.74/udp         
Anywhere                   DENY        216.58.215.74/tcp         
Anywhere                   DENY        216.58.209.3/udp          
Anywhere                   DENY        216.58.209.3/tcp          
Anywhere                   DENY        13.32.145.91/udp          
Anywhere                   DENY        13.32.145.91/tcp          
Anywhere                   DENY        35.83.182.199/udp         
Anywhere                   DENY        35.83.182.199/tcp         
Anywhere                   DENY        54.148.154.169/udp        
Anywhere                   DENY        54.148.154.169/tcp        
Anywhere (v6) on wlp0s20f3 LIMIT       Anywhere (v6)             

34.107.221.82/udp          DENY OUT    Anywhere                  
34.107.221.82/tcp          DENY OUT    Anywhere                  
13.227.153.127/udp         DENY OUT    Anywhere                  
13.227.153.127/tcp         DENY OUT    Anywhere                  
35.161.245.58/udp          DENY OUT    Anywhere                  
35.161.245.58/tcp          DENY OUT    Anywhere                  
34.213.92.18/udp           DENY OUT    Anywhere                  
34.213.92.18/tcp           DENY OUT    Anywhere                  
34.120.208.123/udp         DENY OUT    Anywhere                  
34.120.208.123/tcp         DENY OUT    Anywhere                  
93.184.220.29/udp          DENY OUT    Anywhere                  
93.184.220.29/tcp          DENY OUT    Anywhere                  
216.58.215.74/udp          DENY OUT    Anywhere                  
216.58.215.74/tcp          DENY OUT    Anywhere                  
216.58.209.3/udp           DENY OUT    Anywhere                  
216.58.209.3/tcp           DENY OUT    Anywhere                  
13.32.145.91/udp           DENY OUT    Anywhere                  
13.32.145.91/tcp           DENY OUT    Anywhere                  
35.83.182.199/udp          DENY OUT    Anywhere                  
35.83.182.199/tcp          DENY OUT    Anywhere                  
54.148.154.169/udp         DENY OUT    Anywhere                  
54.148.154.169/tcp         DENY OUT    Anywhere 

Jednak - j. w. - to nie wystarcza. 

> 5. Dać sobie spokój i używać tylko Waterfoxa (rzekomo nie szpiegująca wersja Firefox) lub Tor (jednak wiele rasistowskich stron odmawia dostępu). 

To chyba jedyne rozwiązanie tego szpiegowskiego szaleństwa.

On 21/06/2022 18:54, Jacek Marcin Jaworski wrote:
> Dzień dobry!
> 
> Ustaliłem programem tcpdump, że Firefox na starcie łączy się z tymi serwerami:

Postaw sobie Pi Hole.

Jacek Marcin Jaworski <jaworski1978@adres.pl> pisze:
> Dzień dobry!
>
> Ustaliłem programem tcpdump, że Firefox na starcie łączy się z tymi serwerami:
> 34.107.221.82 = 82.221.107.34.bc.googleusercontent.com = 
> 13.227.153.127 = server-13-227-153-127.muc51.r.cloudfront.net = 
> 34.107.221.82 = 82.221.107.34.bc.googleusercontent.com = 
> 35.161.245.58 = ec2-35-161-245-58.us-west-2.compute.amazonaws.com = 
> 34.213.92.18 = ec2-34-213-92-18.us-west-2.compute.amazonaws.com = 
> 34.120.208.123 = 123.208.120.34.bc.googleusercontent.com = 
> 34.120.208.123 = 123.208.120.34.bc.googleusercontent.com = 
> 93.184.220.29 = 93.184.220.29 = 
> 93.184.220.29 = 93.184.220.29 = 
> 216.58.215.74 = waw02s16-in-f10.1e100.net = 
> 216.58.209.3 = sof01s12-in-f3.1e100.net = 
>
> Prawdopodobnie w celach szpiegowskich.
> Teraz pojawia się pyt.:
> Jak te adresy prawidłowo poblokować?
>
> Ja widzę takie opcje:
> 1. UFW: Mam taki zestaw reguł:
> To                         Action      From
> --                         ------      ----
> Anywhere on wlp0s20f3      LIMIT       Anywhere                  
> Anywhere                   DENY        34.107.221.82/udp         
> Anywhere                   DENY        34.107.221.82/tcp         
> 34.107.221.82/udp          DENY        Anywhere                  
> 34.107.221.82/tcp          DENY        Anywhere                  
> Anywhere                   DENY        13.227.153.127/udp        
> Anywhere                   DENY        13.227.153.127/tcp        
> 13.227.153.127/udp         DENY        Anywhere                  
> 13.227.153.127/tcp         DENY        Anywhere                  
> Anywhere                   DENY        35.161.245.58/udp         
> Anywhere                   DENY        35.161.245.58/tcp         
> 35.161.245.58/udp          DENY        Anywhere                  
> 35.161.245.58/tcp          DENY        Anywhere                  
> Anywhere                   DENY        34.213.92.18/udp          
> Anywhere                   DENY        34.213.92.18/tcp          
> 34.213.92.18/udp           DENY        Anywhere                  
> 34.213.92.18/tcp           DENY        Anywhere                  
> Anywhere                   DENY        34.120.208.123/udp        
> Anywhere                   DENY        34.120.208.123/tcp        
> 34.120.208.123/udp         DENY        Anywhere                  
> 34.120.208.123/tcp         DENY        Anywhere                  
> Anywhere                   DENY        93.184.220.29/udp         
> Anywhere                   DENY        93.184.220.29/tcp         
> 93.184.220.29/udp          DENY        Anywhere                  
> 93.184.220.29/tcp          DENY        Anywhere                  
> Anywhere                   DENY        216.58.215.74/udp         
> Anywhere                   DENY        216.58.215.74/tcp         
> 216.58.215.74/udp          DENY        Anywhere                  
> 216.58.215.74/tcp          DENY        Anywhere                  
> Anywhere                   DENY        216.58.209.3/udp          
> Anywhere                   DENY        216.58.209.3/tcp          
> 216.58.209.3/udp           DENY        Anywhere                  
> 216.58.209.3/tcp           DENY        Anywhere                  
> Anywhere (v6) on wlp0s20f3 LIMIT       Anywhere (v6)
>
> Jak widać mam podaje jak wół: zakaz łączenia się ze wszystkiego do tych adresów i odmowa połączeń z tych adresów do wszystkiego.
> I to nie działa - dalej przy uruchomieniu Firefoxa widać odpowiedzi z tych adresów. 
>
> 2. Można też użyć lokalnego proxy. Tylko jakiego?
> 3. Można zrobić na starym PCecie w sieci lokalnej bramę i tam próbować filtrować ruch UFW.
> 4. Można kupić normalny, czyli drogi, router Wi-Fi i tam sobie blokować ręcznie.
> 5. Dać sobie spokój i używać tylko Waterfoxa (rzekomo nie szpiegująca wersja Firefox) lub Tor (jednak wiele rasistowskich stron odmawia dostępu).
>
> Tylko pytanie:
> Jak tak na prawdę, prosto i skutecznie blokować ruch wychodzący.
>
> Sprzęt: Laptop kompatybilny z AMD64;
> Distro: kompatybilne z Ubuntu 20.04;
> Sieć: domowa WiFi. Jednak interesują mnie też rozw. półprofesjonalne;
>
> Miłego dnia!
> Jacek Marcin Jaworski

Może to poniżej da ci słowa kluczowe na wyszukanie po inecie:

<quote src="man Firefox::Marionette">
chatty - Firefox is extremely chatty on the network, including checking
for the lastest malware/phishing sites, updates to firefox/etc.  […]
Even with chatty switched off, connections to
firefox.settings.services.mozilla.com will still be made
<https://bugzilla.mozilla.org/show_bug.cgi?id=1598562#c13>.  The only
way to prevent this seems to be to set
firefox.settings.services.mozilla.com to 127.0.0.1 via /etc/hosts
<https://en.wikipedia.org/wiki//etc/hosts>.  […]
</quote>

-- 
Andrzej A. Filip

On 21/06/2022 18:54, Jacek Marcin Jaworski wrote:
> 2. Można też użyć lokalnego proxy. Tylko jakiego?
> 3. Można zrobić na starym PCecie w sieci lokalnej bramę i tam próbować filtrować ruch UFW.
> 4. Można kupić normalny, czyli drogi, router Wi-Fi i tam sobie blokować ręcznie.
> 5. Dać sobie spokój i używać tylko Waterfoxa (rzekomo nie szpiegująca wersja Firefox) lub Tor (jednak wiele rasistowskich stron odmawia dostępu).
> 
> Tylko pytanie:
> Jak tak na prawdę, prosto i skutecznie blokować ruch wychodzący.

6. Jako rozwiazania tego problemu, uzywam DNS resolvera Unbound na 
serwerku w sieci domowej. Kazdy ruch DNS jest do niego przekierowany. W 
nim blokuje sobie strony ktore chce.
A wiec jest to ulepszona wersja twojego punktu 3. Nie UFW, ale pelny DNS 
resolver. Nie dosc ze masz szybsze DNSy bo ogromne lokalne cache, to 
jeszcze pod pelna kontrola to sie otwiera w sieci domowej a co nie.
Postawienie Pi Hole czy wlasnego resolvera jw. jest to moim zdaniem 
najbardziej efektywne rozwiazanie twego problemu.


A sam Firefox gada z Google i Amazon AWS bo nie wylaczyles w 
ustawieniach sprawdzania phising sites list od Google. Jest tez pare 
adresow Mozilli, ktore trzymaja i synchronizuja konto Mozilla jesli masz 
zalogowane, czy tez Firefox Relay usluge, czy inne uslugi Mozilli.

-- 
pozdrawiam,   pioruns
_,.-'~'-.,__,.-'~'-.,__,.-'~'-.,__,.
Registered Linux User #454644

Jacek Marcin Jaworski wrote:
> Dzień dobry!
>
> Ustaliłem programem tcpdump, że Firefox na starcie łączy się z tymi serwerami:

Sporo da się wyłączyć w opcjach about:config.