Прозрачный (transparent) socks используя redsocks

[barl0g]

Можно ли использовать byedpi в связке с redsocks (pr0cks, transocks и т.д.)? У меня почему-то не получилось, хотя, идее должно работать.
Хотелось бы перенаправить трафик с микротика на локальный сервер с redsocks и byedpi и далее на googlevideo.

Самый удобный вариант был бы. Не надо socks прописывать на клиентах.

[hufrea]

У меня почему-то не получилось, хотя, идее должно работать.

А как вы пытались это сделать?

[barl0g]

На домашнем сервере поднял byedpi и redsocks. Настроил на роутере правило переадресации пакетов на redsocks. Он настроен на работу с byedpi. Видимо, какой-то мета информации, заголовков не хватает. Так, вообще, может работать? пн, 12 авг. 2024 г., 02:13 hufrea ***@***.***>:

…

У меня почему-то не получилось, хотя, идее должно работать. А как вы пытались это сделать? — Reply to this email directly, view it on GitHub <#71 (comment)>, or unsubscribe <https://github.com/notifications/unsubscribe-auth/ABFHDRW3QYNYA2JFRF55H6TZQ7V2LAVCNFSM6AAAAABMKCNTHOVHI2DSMVQWIX3LMV43URDJONRXK43TNFXW4Q3PNVWWK3TUHMYTAMZQHAYTGMY> . You are receiving this because you authored the thread.Message ID: ***@***.***>

[muzzy124]

Работает в таком виде (телек с webos работает иногда, телек на тизене - почти никогда):

Поднята машина с redsocks и byedpi (в моем случае alpine c net.ipv4.ip_forward = 1)

Конфиг redsocks.conf:

base {
        log_debug = off;
        log_info = on;
        log = stderr;
        daemon = off;
        redirector = iptables;
        redsocks_conn_max = 4096;
}
redsocks {
        local_ip = 0.0.0.0;
        local_port = 12345;
        ip = localhost; // адрес прокси, в данном случае localhost
        port = 1080; // порт прокси
        type = socks5;
}

redudp {
        local_ip = 127.0.0.1; // сетевой адрес машины с редсокс
        local_port = 10053;
        dest_ip = 8.8.8.8; // ну или адрес вашего днс, можно адрес роутера, на котором днс
        dest_port = 53;
        ip = localhost; // адрес прокси, в данном случае localhost
        port = 1080; // порт прокси
        udp_timeout = 30;
        udp_timeout_stream = 180;
}

dnstc {
        local_ip = 127.0.0.1;
        local_port = 5300;
}

т.к. пока непонятен вопрос со стабильностью редсокс, перезапускаю сервис такой командой (добавлена в скрипт автозапуска в /etc/local.d)

service redsocks start && watch -n 3600 \"service redsocks stop && service redsocks start\"

маршруты

iptables -t nat -N REDSOCKS
iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 100.64.0.0/10 -j RETURN
iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 169.254.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 172.16.0.0/12 -j RETURN
iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 198.18.0.0/15 -j RETURN
iptables -t nat -A REDSOCKS -d 224.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -d 240.0.0.0/4 -j RETURN

iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 12345
iptables -t nat -A REDSOCKS -p udp -j REDIRECT --to-ports 12345

iptables -t nat -A PREROUTING --in-interface eth0 -p tcp -j REDSOCKS
iptables -t nat -A PREROUTING --in-interface eth0 -p udp -j REDSOCKS

Варианты запуска byedpi (определяйте опытным путем, а это самое сложное):

ciadpi --ip 0.0.0.0 --port 1080 --hosts hosts.txt --disorder 1 --fake 0 --ttl 1 -A torst --tlsrec 1+s --debug 1
ciadpi --ip 0.0.0.0 --port 1080 --hosts hosts.txt --disorder 2 --fake 0 --md5sig --auto=none --debug 1
и т.п.

Содержание hosts.txt (субдомены автоматически подхватываются):

googlevideo.com
youtube.com
youtu.be
ytimg.com
l.google.com
googleapis.com
gstatic.com

Микротик раздает по дхцп (option 3) нужным клиентам шлюз с адресом этой машины c redsocks.

[barl0g]

В секцию redudp я ещё добавил local_ip = <proxy_ip> и local_port = 1080. Вроде как quic ютуба не работает без этого. А так, да, вы рабочую схему описали, спасибо.

[muzzy124]

поправил конфиг в части redudp, по ошибке не вставил адрес и порт прокси
поменял маршруты на команды

[muzzy124]

Короче я устал бороться с тизеном/вебосом и включил ipv6 через брокера (провайдер не умеет в ipv6). На телеках клиенты ютуба в tizenbrew/msx соответственно. Инструкции в гугле... Жду блока через в6 :)

[barl0g]

Короче я устал бороться с тизеном/вебосом и включил ipv6 через брокера (провайдер не умеет в ipv6). На телеках клиенты ютуба в tizenbrew/msx соответственно. Инструкции в гугле... Жду блока через в6 :)

Я пробовал. Глючно тоже как-то работает. Началось с того, что Гугл капчу просил каждый раз (через несколько дней прошло). И частенько другие сайты отваливались. Вот бы сделать так, чтобы только youtube через ipv6 работал. Я не разобрался как это удобно сделать на Микротике.

[muzzy124]

по идее парадигма наличия ipv6 уже должна быть стандартной, а то, что что-то не работает, это проблема конкретных приложений или сайтов

конфиги выше обновил до актуальных

[5wards]

Вопрос тот же, только использовал transocks в качестве прозрачного прокси, не работает.
Помогите плз понять, чего именно не хватает...

[barl0g]

Возможно, вот это поможет:

redsocks_conn_max = 4096;

см. https://github.com/darkk/redsocks/blob/master/redsocks.conf.example

[muzzy124]

Спасибо, поставил. Пока тестирую. На всякий случай ещё и перезапуск сервиса редсокс каждые n минут сделал

[romkazor]

Для микрота есть похожая рабочая схема с tun2socks для xray. Поднято 2а контейнера, xray и tun2socks. Трафик от клиента по нужным хостам маркируется и роутится через tun2socks который по socks5 шлет все в xray контейнер - отлично все работает.

С byedpi/spoof-dpi/zapret такая схема почему то не катит, от того же курла получаю SSL_connect: SSL_ERROR_SYSCALL in connection to youtube.com. Может кто понимает что нужно подкрутить что бы это взлетело?

[muzzy124]

т.е. если менять в схеме xray на byedpi, хотя оба являются сокс5 прокси, перестает работать?

[romkazor]

Да, самое что интересное - эта схема не работает с любым из похожих решений как я и писал выше (byedpi/spoof-dpi/zapret), а с xray идеально. При этом если в системе прописать прокси с ip и портом byedpi то все работает, но это не прозрачно.

В дебаге наблюдаю такое полотнище бесконечное:

• accept: fd=5
• new conn: fd=6, addr=74.125.131.190:443
• host: youtube.com (153)
• split: pos=0-1 (1), m: DESYNC_DISORDER
• send: pos=1-517
• accept: fd=7
• new conn: fd=8, addr=74.125.131.190:443
• accept: fd=9
• host: youtube.com (153)
• split: pos=0-1 (1), m: DESYNC_DISORDER
• send: pos=1-517
• new conn: fd=10, addr=74.125.131.190:443
• accept: fd=11
• new conn: fd=12, addr=74.125.131.190:443

P.S. Кто бы мог подумать, но тут оказалось все проще, микрот нужно было ребутнуть... Почему он не мог нормально работать с новыми добавленными контейнерами для меня большой вопрос.

[EgorKin]

А можно Вас попросить реальзовать возможность запуска byedpi в режиме прозрачного прокси?
Дабы не использовать дополнительные утилиты вроде redsocks.

[Lurker00]

Сделал PR: #114

[romkazor]

Спасибо. А более подробно свою схему использования описать можешь?

[Lurker00]

Здесь написал: https://4pda.to/forum/index.php?showtopic=491608&view=findpost&p=132158980

[romkazor]

Интересует откуда куда и как ходит трафик на byedpi

[Lurker00]

Интересует откуда куда и как ходит трафик на byedpi

byedpi - в маршрутизаторе. Весь трафик из локалки - в него. Дальше - фильтрация через iptables и параметрами --hosts byedpi.

Обновленный набор скриптов тут: https://4pda.to/forum/index.php?showtopic=491608&view=findpost&p=132213916