Linux: Туннелирование трафика через прокси #195
-
ОписаниеУверен, что кто-то уже занимался подобным и хотел попросить помощи с конфигурацией и поделиться тем, что уже смог настроить. Есть задача туннелировать весь трафик Linux системы на byedpi socks5 прокси, который работает на этой же системе (по адресу МетодыTransparent proxy + iptables (Рабочий вариант)Суть заключается в запуске byedpi в режиме прозрачного прокси сервера (ниже пример) и последующей настройке перебрасывания всего трафика TCP/UDP на порт прокси через iptables. byedpi: ciadpi --ip 127.0.0.1 --port 4080 --transparent <...>iptables: sudo iptables -t nat -A OUTPUT -p tcp -m owner ! --uid-owner root \
-j REDIRECT --to-port 4080
sudo iptables -t nat -A OUTPUT -p udp -m owner ! --uid-owner root \
-j REDIRECT --to-port 4080Автоматизация настроек уже без UDP - тут. Данный вариант рабочий для TCP трафика, однако любые UDP пакеты просто пропадают в бездне без каких либо ошибок у прокси сервера. Было несколько попыток отправить UDP пакеты, включая WebRTC дискорда для голосовой связи, однако все безуспешно. При идентичной конфигурации дискорд работает спокойно на ByeDPIAndroid. SOCKS5 + NekoboxВ данном варианте byedpi запускается как обычный socks5 прокси сервер, для подключения к которому используется NekoBox For PC. byedpi: ciadpi --ip 127.0.0.1 --port 4080 <...>nekobox: После запуска прокси и включения "Tun Mode" (Туннелирования всего трафика), byedpi захлебывается ошибками: Как и nekobox: Первым же делом, отталкиваясь от логов byedpi попытался изменить адрес прокси сервера на другие варианты ( ИтогиЯ понимаю, что туннелирование можно настроить и без nekobox и я пробовал эти методы, однако у меня так и не получилось настроить свой интерфейс туннеля, так что даже и включать эти попытки сюда не буду. |
Beta Was this translation helpful? Give feedback.
Replies: 5 comments 40 replies
-
|
Хотелось бы увидеть хотя бы поддержку обработки UDP-трафика в режиме прозрачного прокси. Может, тогда и голосовые каналы в Discord заработают. |
Beta Was this translation helpful? Give feedback.
-
|
А я был в полной уверенности, что UDP трафик поддерживается и в прозрачном режиме. Тогда это многое объясняет. |
Beta Was this translation helpful? Give feedback.
-
|
Как на счёт вот этого: https://github.com/tun2proxy/tun2proxy. Хотя, ИМХО, задача поставлена в корне неверно: куда именно тунелируется трафик? Если не на некий сервер по ту сторону ТСПУ, то и тунелировать что либо не имеет смысла. У любой клиент-серверной системы должен быть сервер, понимающий тот же протокол. Вы свой трафик во что-то завернули, кто и где это будет разворачивать? |
Beta Was this translation helpful? Give feedback.
-
|
Возможно я не совсем правильно использую терминологию в данном случае, потому что задача абсолютно "простая" - мне нужно в пределах одной машины перенаправлять все TCP/UDP пакеты на byedpi прокси сервер, который работает на этой же машине, а уже после этого все модифицированные пакеты должны уходить в глобальную сеть по своему назначению. Режим обычного прокси тут не подходит, так как много софта попросту не умеет или не хочет обнаруживать socks5, как и в целом любые прокси настройки окружения (Discord яркий тому пример). |
Beta Was this translation helpful? Give feedback.
-
|
И да, tun2proxy действительно то, что мне нужно в данной ситуации, просто я так ещё и не смог разобраться в его настройке. Поэтому и решил поспрашивать здесь, возможно кто-то проворачивал подобное. |
Beta Was this translation helpful? Give feedback.
-
|
Также ИМХО: UPD трафик не идёт потому, что UDP - connectionless протокол, ему всё равно сначала нужен TCP, хотя бы только для хендшейка. Скорее всего блочится именно стартовый TCP коннект. Ищите другие настройки, например, которые оттянут начало UDP передачи, т.е. увеличьте размер TCP фейка специально для UDP протокола. Попробуйте вариант с маленьким размером буфера (--buf-size), как я понимаю, это увеличивает фрагментацию (сокращает размер MSS), и ТСПУ отказывается от таких пакетов. Могу ошибаться, но поддержка UDP со стороны ByeDpi заключается только в том, что он эти пакеты перебрасывает как есть. Если указана опция --udp-fake то он добавляет туда мусор, но мусор в UDP - не то же, что мусор в TCP, где он в самом пиковом случае приводит к обрыву соединения: для UDP нельзя даже сказать, что соединение установлено, и если принимающая сторона принципиально не ожидает мусор, то даже один мусорный байт всё испортит. С другой стороны, у UDP заголовок простейший, и поэтому не так легко обнаружить какие именно данные и куда (кроме IP адреса) по нему идут. |
Beta Was this translation helpful? Give feedback.
-
|
Для отдельных программ можно использовать proxychains или redsocks. |
Beta Was this translation helpful? Give feedback.
-
|
Проблема в том, что абсолютно идентичные настройки, поданные в ByeDPIAndroid работают идеально и даже WebRTC Дискорда подключается без проблем, поэтому проблема все же где-то то в моем подходе. Насколько я понял, андроид версия ByeDPI использует HevSocks5Tunnel для перенаправления всего трафика. Хотелось бы реализовать что-то подобное. Proxychains в UDP совсем не могет к сожалению, redsocks пока не рассматривал. Спасибо за советы. |
Beta Was this translation helpful? Give feedback.
-
|
Только что настроил перенаправление всего трафика на локальный прокси byedpi через HevSocks5Tunnel и войс чат дискорда на линуксе заработал как на андроиде. Основные сложности были с избавлением бесконечной петли трафика между прокси и интерфейсом, заюзал следующее |
Beta Was this translation helpful? Give feedback.
-
|
можешь написать гайд, пожалуйста |
Beta Was this translation helpful? Give feedback.
-
|
Да, это как раз та проблема, с которой столкнулся и я. Сейчас буду пытаться все это развернуть, отчет о результатах по готовности. |
Beta Was this translation helpful? Give feedback.
-
Я полный нуб в таких вопросах, поэтому сразу извиняюсь за костыльность, мб оно у вас вообще работать не будет.
|
Beta Was this translation helpful? Give feedback.
-
|
Спасибо большое! |
Beta Was this translation helpful? Give feedback.
-
|
Безумно благодарю тебя @irregular-circle за совет и полноценную инструкцию по запуску. К этому времени я тоже добился успехов, но с # Создаем пользователя byedpi без оболочки и домашней папки, что бы
# десктоп среды не считали его за полноценного пользователя.
sudo useradd -M -s /bin/false byedpi
# Запускаем byedpi от нового пользователя
# Добавляйте & и nohup для постоянной работы в фоне.
sudo -u byedpi ciadpi --ip 127.0.0.1 --port 4080 <...>
# Можно использовать и обычный su по необходимости
# Пример ниже дополнительно использует nohup для запуска в фоне.
nohup su - byedpi -s /bin/bash -c 'ciadpi --ip 127.0.0.1 --port 4080 <...>' > /dev/null 2>&1 &
# Создаем адаптер для туннелирования трафика с названием byedpi-tun
sudo ip tuntap add mode tun dev byedpi-tun
# Назначаем адрес адаптеру
# НЕ НАЗНАЧАТЬ loopback адреса 127.0.0.1/8
# Диапазоны доступных адресов можно узнать тут https://en.wikipedia.org/wiki/Private_network#Private_IPv4_addresses
sudo ip addr add 172.20.0.1/24 dev byedpi-tun
# Поднимаем адаптер
sudo ip link set dev byedpi-tun up
# Задаем минимальную метрику, что бы весь трафик шел через туннель
sudo ip route add default via 172.20.0.1 dev byedpi-tun metric 1
# Настройка маршрутизации трафика по пользователю
# 192.168.1.1 заменить на адрес шлюза основной сети.
# 1001-1001 заменить на uid пользователя byedpi.
# enp9s0 заменить на название основного адаптера.
sudo ip route add default via 192.168.1.1 dev enp9s0 metric 50 table 110
sudo ip rule add uidrange 1001-1001 lookup 110 pref 29000
# Запуск туннелирования
# Опять же, & и nohup по необходимости.
tun2socks -device byedpi-tun -proxy socks5://127.0.0.1:4080Полностью рабочий вариант вот тут. |
Beta Was this translation helpful? Give feedback.
-
|
Спасибо |
Beta Was this translation helpful? Give feedback.
-
|
@maximilionus @irregular-circle Подробнее описал тут: Спасибо! |
Beta Was this translation helpful? Give feedback.
-
|
Ещё как вариант будет заменить в nft цепочку После этого теоретически можно убрать и |
Beta Was this translation helpful? Give feedback.
-
|
С заменой кажется вариант попроще, но у меня вопроса тогда 2:
Это имеется ввиду будет 2 preprouting, или это все в один слить?
Спасибо! |
Beta Was this translation helpful? Give feedback.
-
|
По nft больше ничего подсказать не могу, тут ты остаешься сам за себя к сожалению. Примерно должно выглядеть как-то так, только не забудь перед этим перегрузить роутер для сброса предыдущей таблицы: nft add table ip nat
nft add chain ip nat PREROUTING
nft add rule ip nat PREROUTING ip protocol tcp skuid != 0 counter redirect to :18081Мы тут чуть ниже как раз решали немного схожую проблему. Попробуй запустить сервер byedpi от другого системного пользователя: $ useradd -M byedpi
$ su - byedpi -c "ciadpi --ip 127.0.0.1 --port 18081 <...>" |
Beta Was this translation helpful? Give feedback.
-
|
Понял, спасибо большое за оперативные и очень полезные ответы! |
Beta Was this translation helpful? Give feedback.
-
|
Удачи!!! |
Beta Was this translation helpful? Give feedback.
-
|
Подскажите, что я делаю не так? Использовал ваш конфиг iptables
Но при каком-нибудь Вот мои параметры для прокси: |
Beta Was this translation helpful? Give feedback.
-
|
Оказывается я просто запускал byedpi на своей учетке, а не на root X3. Проблема решена |
Beta Was this translation helpful? Give feedback.
-
Бывает. Хорошо что все решилось, удачи. |
Beta Was this translation helpful? Give feedback.
-
|
Ох, только заметил еще проблему. Внутри докер контейнеров видимо не работает это правило iptables... Случаем не знаете, как починить? |
Beta Was this translation helpful? Give feedback.
-
|
UPD: столько времени потратил, а опять оказалось глупая ошибка. Надо было просто добавить правило на PREROUTING (т.к. оказывается запросы из докера не проходят через цепочку OUTPUT - подробнее здесь). И ГЛАВНОЕ надо было сделать так, чтобы прокся слушала на 0.0.0.0 вместо 127.0.0.1 😭 |
Beta Was this translation helpful? Give feedback.
-
|
Интересная особенность, спасибо, теперь тоже буду знать. А про 0.0.0.0 да, возможно докер не имеет доступа к loopback (127.0.0.1) хоста. |
Beta Was this translation helpful? Give feedback.
Я полный нуб в таких вопросах, поэтому сразу извиняюсь за костыльность, мб оно у вас вообще работать не будет.
sudo useradd ciadpiid ciadpisudo bin/hev-socks5-tunnel conf/main.ymlsudo ip rule add uidrange 1001-1001 lookup 110 pref 28000Здес…