Адрес РуТрекера для пользователей РФ - MainTracker.org

Расскажи друзьям:  

Прозрачное проксирование TOR на базе Linux софтроутера

Страницы :  1, 2, 3  След.

Ответить
Автор
Сообщение

k0ste

Top User 12

Стаж: 10 лет 10 месяцев

Сообщений: 589

k0ste · 17-Ноя-15 17:23 (2 года 8 месяцев назад)

[Цитировать] 

Не нужно ничего настраивать устройствах за маршрутизатором, для всех клиентов все остается "как есть".
Для работы понадобятся iptables, ipset (не обязательно, но удобнее, имхо), tor.
Я приведу необходимые настройки, конфигурация маршрутизатора "с нуля" рассмотрена не будет. Подразумевается что tor запущен на самом маршрутизаторе и маршрутизатор имеет адрес одного из своих интерфейсов 192.168.0.193
Настройки открывают SOCKS прокси с аклом. Прозрачное проксирование и резолвинг можно получить только с маршрутизатора.
torrc
Код:
RunAsDaemon 0
DataDirectory /var/lib/tor
Nickname g82tor
SOCKSPort 9050
SOCKSListenAddress 0.0.0.0
SocksPolicy accept 127.0.0.1/0
SocksPolicy accept 192.168.0.0/16
SocksPolicy accept 10.9.0.0/24
SocksPolicy accept 10.10.0.0/24
SocksPolicy reject *
ControlPort 9051
ControlListenAddress 127.0.0.1
TransPort 9052
TransListenAddress 192.168.0.193
DNSPort 9053
DNSListenAddress 192.168.0.193
HashedControlPassword $mysecret
VirtualAddrNetworkIPv4 10.192.0.0/10
AutomapHostsOnResolve 1
StrictNodes 1
ClientUseIPv6 0
IPv6Exit 0
Подразумевается, что машрутизатор резолвит адреса в сети. При прохождении пакета в зоны .onion и .exit, пакет уйдет в tor-resolve и клиенту будут доступны ресурсы 'hidden internet'. Все транзитные пакеты http/https назначение которых попадает в список DST_TOR уйдут в TOR.
iptables
Код:
iptables -t nat -A PREROUTING -d 10.192.0.0/10 -p tcp --syn -j DNAT --to-destination 192.168.0.193:9052
iptables -t nat -A PREROUTING -p udp --dport 53 -m string --algo bm --hex-string "|056f6e696f6e00|" -j DNAT --to-destination 192.168.0.193:9053
iptables -t nat -A PREROUTING -p udp --dport 53 -m string --algo bm --hex-string "|046578697400|" -j DNAT --to-destination 192.168.0.193:9053
iptables -t nat -A PREROUTING -m set --match-set DST_TOR dst -p tcp -m tcp -m multiport --dports 80,443 -j DNAT --to-destination 192.168.0.193:9052
Список узлов, трафик до которых нужно отправить в TOR. Первым в списке rutracker.org, так как своя автономка AS47105 (Dreamtorrent Corp), добавляем сразу префикс. Далее идет kinozal.tv. ipset позволяет динамически, без дёрганья чего либо изменять список оставляя клиентов за этим маршрутизатором довольными.
ipset
Код:
ipset create DST_TOR hash:net
ipset add DST_TOR 195.82.146.0/23
ipset add DST_TOR 104.24.107.53
ipset add DST_TOR 104.24.106.53
Надеюсь кому-то пригодится. Уже пару лет так работает. Сейчас шумиха идет, вот узнал что оказывается torrents.ru еще не заблокирован
[Профиль]  [ЛС] 
 

Aleks555BBQ

Стаж: 9 лет 8 месяцев

Сообщений: 2


Aleks555BBQ · 17-Ноя-15 21:40 (спустя 4 часа)

[Цитировать] 

Не совсем понял необходимость этого пассажа:
ControlPort 9051
ControlListenAddress 127.0.0.1
TransPort 9052
TransListenAddress 192.168.0.193
И по этому абзацу "Подразумевается, что машрутизатор резолвит адреса ............." можешь подробнее расписать?
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 18-Ноя-15 00:05 (спустя 2 часа 24 мин.)

[Цитировать] 

Маркировка пакетов обычно не работает с offload'ом. Поэтому использую на роутере прозрачный squid для передачи трафика на связку privoxy+tor. Кстати tor нормально туннелирует ipv6, почему вы не используете его?
[Профиль]  [ЛС] 

k0ste

Top User 12

Стаж: 10 лет 10 месяцев

Сообщений: 589

k0ste · 18-Ноя-15 06:56 (спустя 6 часов)

[Цитировать] 

Aleks555BBQ
Aleks555BBQ писал(а):
69291728ControlPort 9051
ControlListenAddress 127.0.0.1
Это управляющий интерфейс. Конкретно для ARM.
Aleks555BBQ писал(а):
69291728TransPort 9052
TransListenAddress 192.168.0.193
Это интерфейс, куда DNAT'ятся запросы.
Aleks555BBQ писал(а):
69291728И по этому абзацу "Подразумевается, что машрутизатор резолвит адреса ............." можешь подробнее расписать?
Все DNS запросы от абонентов приходят на этот маршрутизатор.
fhtagn писал(а):
69293100Кстати tor нормально туннелирует ipv6, почему вы не используете его?
На сколько я понял ман, опции объявляют о возможности подключения до входных нод по IPv6, а не туннелирование. Если распишите ipv4to6 более подробно - респект.


Сообщения из этой темы [2 шт.] были выделены в отдельную тему spac3dr3am [id: 40200996] (0)
doc_ravik
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 18-Ноя-15 16:30 (спустя 9 часов)

[Цитировать] 

Цитата:
На сколько я понял ман, опции объявляют о возможности подключения до входных нод по IPv6
О них и речь, не так выразился изначально. Не вижу смысла туннелировать ipv6 через ipv4, большинство провайдеров поддерживает ipv6 да и оборудование в том числе.
У вас я смотрю правила на основе ip адресов. Как у вас реализована защита от подмены DNS ответов со стороны провайдера?
[Профиль]  [ЛС] 

k0ste

Top User 12

Стаж: 10 лет 10 месяцев

Сообщений: 589

k0ste · 18-Ноя-15 17:05 (спустя 34 мин.)

[Цитировать] 

fhtagn писал(а):
69297446большинство провайдеров поддерживает ipv6 да и оборудование в том числе.
У нас такого нет...
fhtagn писал(а):
69297446Как у вас реализована защита от подмены DNS ответов со стороны провайдера?
Unbound рекурсивно ходит и спрашивает.
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 18-Ноя-15 17:14 (спустя 9 мин.)

[Цитировать] 

Цитата:
Unbound рекурсивно ходит и спрашивает.
особенно в связке с dnscrypt вообще замечательно.
[Профиль]  [ЛС] 

Beelzebubbie

Стаж: 7 лет 6 месяцев

Сообщений: 4


Beelzebubbie · 03-Дек-15 20:16 (спустя 15 дней)

[Цитировать] 

как альтернатива, есть маршрутизируемое решение (с определенной точки зрения более простое) на базе tor и badvpn-tun2socks (https://github.com/ambrop72/badvpn).
работает это примерно так (делалось более года назад, детали я опущу):
в mangle на базе генерируемого ipset hash:net,port пакеты маркируются $PACKET_MARK; потом на основе policy-base routing (fwmark $PACKET_MARK table $ROUTE_TABLE, ip route add default via $GW_IP table $ROUTE_TABLE) отправляются на --netif-ipaddr $GW_IP запущенного badvpn-tun2socks, где они собственно и попадают в tor.
[Профиль]  [ЛС] 

voin_razuma

Стаж: 9 лет

Сообщений: 6

voin_razuma · 05-Дек-15 19:58 (спустя 1 день 23 часа)

[Цитировать] 

Доброго времени суток.
Хочу здесь поделиться своим вариантом решения проблемы блокировок.
ОС: Ubuntu 14.04
Базовые конфигурации TOR и i2p
Установлен прокси Privoxy с такими конфигурациями:
Цитата:
#НЕ использовать прокси при соединениях
forward :443 .
forward :465 .
forward :143 .
forward :110 .
forward :993 .
forward :995 .
forward :22 .
forward :25 .
forward 10.*.*.*/ .
forward 172.*.*.*/ .
forward 192.168.*.*/ .
forward 127.0.0.*/ .
# SOCKS5-соеденинения через TOR, http (без шифрования) через TOR
forward-socks5 / 127.0.0.1:9050 .
forward-socks5 .onion 127.0.0.1:9050 .
#this forwards all requests to .i2p domains to the local i2p
#proxy without dns requests
forward .i2p localhost:4444
К браузеру Firefox добавлен свитчер Swap Proxy
https://addons.mozilla.org/ru/firefox/addon/swap-proxy/?src=search
Базово свитчер настроен на использование прокси. При его включении можно без лишних проблем пользоваться сетью TOR, обычным интернетом через TOR и всеми сервисами i2p.
Лично у меня отключено использование TOR при шифрованных соединениях, т.к. к Privoxy у меня ещё и почтово-новостной клиент подключен, но я не хочу, чтобы моя почта шла через узлы тор, потому что у данной системы всё же есть свои точки уязвимости. Оставить ли так - личное дело каждого.
Надеюсь, эта запись окажется кому-либо полезной.
[Профиль]  [ЛС] 

vlad_ns

Top Bonus 05* 10TB

Стаж: 8 лет 4 месяца

Сообщений: 789

vlad_ns · 06-Дек-15 02:11 (спустя 6 часов)

[Цитировать] 

В копилку: Русский Privoxy
[Профиль]  [ЛС] 

Kvach-lukich

Стаж: 7 лет 11 месяцев

Сообщений: 158

Kvach-lukich · 09-Дек-15 21:48 (спустя 3 дня)

[Цитировать] 

Фича для того чтобы Ip был любой кроме русского , в конфиг добавляем
excludeexitnodes {ru}
Ещё хочу добавить для тех кто на linux поднимает тор релей что через инит демон оч долго рестартует (типо инфой обменивается с другими нодами) так что после изменения конфига и рестарта нужно подождать!
А то я 4 ч угрохал пока понял почему у меня Vidalia в винде не конектится к тору по телнету на линухе
Ещё команда для генерации пароля для конекта по телнету
tor --hash-password это_ваш_пароль
А ещё мне помог именно этот форум по скольку в дефалтном конфиге только порт указан для ремот контроля а интерфейса нету (по умолчанию локал хост)
ControlListenAddress тут IP на котором слушает удалённый контроль
Итого на linux маршрутизатор с трансмишном (с ремоутным гуем для винды) + lamp ftp vpn итд и тор с ремоутным гуи для винды.
В firefox дополнение foxyProxy настроенным на сокс прокси линухового тора , прокси используется толко для определённых сайтов (настройки foxyProxy)
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 11-Дек-15 10:14 (спустя 1 день 12 часов)

[Цитировать] 

Цитата:
Итого на linux маршрутизатор с трансмишном (с ремоутным гуем для винды) + lamp ftp vpn итд и тор с ремоутным гуи для винды.
В firefox дополнение foxyProxy настроенным на сокс прокси линухового тора , прокси используется толко для определённых сайтов (настройки foxyProxy)
А чего не поднять на том-же роутере прозрачный squid и забыть о настройках сайтов и прокси на всех устройствах в сети?
В принципе, если есть достаточно оперативки можно в сквид парсить реестр целиком, а не какие-то отдельные сайты ))
[Профиль]  [ЛС] 

AGENT69

Стаж: 9 лет 8 месяцев

Сообщений: 19


AGENT69 · 13-Дек-15 09:47 (спустя 1 день 23 часа)

[Цитировать] 

fhtagn
Добрый день а не подскажете про настройку dnscrypt и unbound на роутер?
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 11:56 (спустя 2 часа 8 мин., ред. 13-Дек-15 14:39)

[Цитировать] 

AGENT69
У dnscrypt нет как такового файла настроек, всё вот в init.d скрипте - запускается 5 инстансов программы на портах 5551-5555 для избыточности.
Необходимо ещё обновить файл /usr/local/share/dnscrypt-proxy/dnscrypt-resolvers.csv (может быть в другом месте) с гита программы https://github.com/jedisct1/dnscrypt-proxy/blob/master/dnscrypt-resolvers.csv и создать пользователя dnscrypt-proxy
Имена ресолверов выбирал только с поддержкой dnssec и желательно с ipv6
init скрипт /etc/init.d/dnscrypt-proxy
скрытый текст
Код:
#!/bin/sh
### BEGIN INIT INFO
# Provides:        dnscrypt-proxy
# Required-Start:  $network $remote_fs $syslog
# Required-Stop:   $network $remote_fs $syslog
# Default-Start:   2 3 4 5
# Default-Stop:    0 1 6
# Short-Description: Start dnscrypt-proxy daemon
### END INIT INFO
PATH=/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/sbin
. /lib/lsb/init-functions
DAEMON=/usr/local/sbin/dnscrypt-proxy
LOGDIR=/var/log/dnscrypt-proxy
PIDDIR=/var/run/dnscrypt-proxy
LOGFILE=$LOGDIR/dnscrypt-proxy.log
LOGLEVEL="5"
LOCAL_ADDRESS="127.0.0.1"
ACTIVE_REQUESTS="4096"
EDNS_PAYLOAD_SIZE="4096"
OPTIONAL_ARGS=""
RESOLVERS="dnscrypt.eu-dk-ipv6:5551 dnscrypt.eu-nl-ipv6:5552 4armed:5553 dnscrypt.me:5554 dnscrypt.org-fr:5555"
USER=dnscrypt
check_dirs () {
        if test ! -d $LOGDIR; then
                mkdir -m 02750 "$LOGDIR"
                chown $USER "$LOGDIR"
                ! [ -x /sbin/restorecon ] || /sbin/restorecon "$LOGDIR"
        fi
        if test ! -d $PIDDIR; then
                mkdir -m 02750 "$PIDDIR"
                chown $USER "$PIDDIR"
                ! [ -x /sbin/restorecon ] || /sbin/restorecon "$PIDDIR"
        fi
}
test -x $DAEMON || exit 5
case $1 in
        start)
                check_dirs
                log_daemon_msg "Starting DNSCrypt server" "dnscrypt-proxy"
                for R in $RESOLVERS; do
                port=`echo $R|cut -f2 -d":"`
                resolver=`echo $R|cut -f1 -d":"`
                pid_file=$PIDDIR/dnscrypt-proxy.$port.pid
                start-stop-daemon --start --quiet --oknodo --chuid $USER --pidfile $pid_file --startas $DAEMON -- -d -a $LOCAL_ADDRESS:$port -n $ACTIVE_REQUESTS -e $EDNS_PAYLOAD_SIZE -R $resolver -p $pid_file -l $LOGFILE -m $LOGLEVEL $OPTIONAL_ARGS
                done
                status=$?
                log_end_msg $status
                ;;
        stop)
                log_daemon_msg "Stopping DNSCrypt server" "dnscrypt-proxy"
                for R in $RESOLVERS; do
                port=`echo $R|cut -f2 -d":"`
                pid_file=$PIDDIR/dnscrypt-proxy.$port.pid
                start-stop-daemon --stop --quiet --oknodo --pidfile $pid_file
                rm -f $pid_file
                done
                log_end_msg $?
                ;;
        restart|force-reload)
                $0 stop && sleep 2 && $0 start
                ;;
        try-restart)
                if $0 status >/dev/null; then
                        $0 restart
                else
                        exit 0
                fi
                ;;
        reload)
                exit 3
                ;;
        status)
                status_of_proc $DAEMON "dnscrypt-proxy"
                ;;
        *)
                echo "Usage: $0 {start|stop|restart|try-restart|force-reload|status}"
                exit 2
                ;;
esac
unbound выполняет роль dns форвардера и не виден снаружи, поэтому без chroot.
весь dns траффик форвардим на 5 инстансов dnscrypt, а запросы .onion зоны на виртуальный dns сервер тора
конфиг /etc/unbound/unbound.conf
скрытый текст
Код:
server:
        interface: 0.0.0.0
        interface: ::
        access-control: 0.0.0.0/0 allow
        access-control: ::/0 allow
        do-daemonize: yes
        num-threads: 2
        outgoing-range: 2048
        num-queries-per-thread: 1024
        so-rcvbuf: 4m
        so-sndbuf: 4m
        msg-cache-slabs: 2
        rrset-cache-slabs: 2
        infra-cache-slabs: 2
        key-cache-slabs: 2
        rrset-cache-size: 8m
        msg-cache-size: 4m
        auto-trust-anchor-file: "/var/lib/unbound/root.key"
        module-config: "validator iterator"
        val-permissive-mode: no
        use-caps-for-id: yes
        use-syslog: no
        logfile: "/var/log/unbound/unbound.log"
        verbosity: 1
        hide-identity: yes
        hide-version: yes
        do-not-query-localhost: no
        rrset-roundrobin: yes
        prefetch: yes
        minimal-responses: yes
        domain-insecure: "onion"
        private-domain: "onion"
        cache-min-ttl: 3600
        cache-max-ttl: 86400
remote-control:
        control-enable: no
forward-zone:
        name: "onion"
        forward-addr: ::1@5300
        forward-addr: 127.0.0.1@5300
forward-zone:
        name: "."
        forward-addr: 127.0.0.1@5551
        forward-addr: 127.0.0.1@5552
        forward-addr: 127.0.0.1@5553
        forward-addr: 127.0.0.1@5554
        forward-addr: 127.0.0.1@5555
num-threads - равно количеству ядер процессора на роутере
параметры сборки
dnscrypt-proxy - по умолчанию
unbound
скрытый текст
Код:
--with-ssl --with-libevent --with-libexpat --without-pythonmodule --without-pyunbound --with-pthreads --with-username=unbound --with-chroot-dir="" --with-pidfile=/var/run/unbound.pid --sysconfdir=/etc
ну и заворачиваем вообще весь dns траффик приходящий на локальный интерфейс на unbound. тоесть поступаем как плохой провайдер только наоборот ))
iptables
скрытый текст
Код:
iptables -t nat -A PREROUTING -i eth2 -p udp --dport 53 -j REDIRECT --to-port 53
iptables -t nat -A PREROUTING -i eth2 -p tcp --dport 53 -j REDIRECT --to-port 53
ip6tables -t nat -A PREROUTING -i eth2 -p udp --dport 53 -j REDIRECT --to-port 53
ip6tables -t nat -A PREROUTING -i eth2 -p tcp --dport 53 -j REDIRECT --to-port 53
всё ходит по dnssec, проходит все проверки
везде ipv6
[Профиль]  [ЛС] 

AGENT69

Стаж: 9 лет 8 месяцев

Сообщений: 19


AGENT69 · 13-Дек-15 14:46 (спустя 2 часа 49 мин.)

[Цитировать] 

Спасибо, но вопросов стало еще больше.
Я правильно понимаю, что надо сначало поднять тор на роутере на 5300 порту?
А еще зачем ткт днсерипт сервер? Я думал на роутере клиента достаточно? Или с unbound только как сервер.
Чет я запутался.
И еще - на обычном домашнем роутере типа zyxel keenetic ultra это осуществимо?
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 15:07 (спустя 21 мин., ред. 13-Дек-15 15:41)

[Цитировать] 

AGENT69
unbound просто выполняет роль днс форвардера, можно использовать стандартный dnsmasq или bind - не суть важно. dnscrypt используется для получения честных днс ответов - провайдер может подменять ответы днс например для заблокированных сайтов. 8.8.8.8 не поможет, так как пров перехватывает dns траффик и подставляет в него выдачу своих серверов.
тор же на 5300 порту создает виртуальный днс сервер, для преобразования имен типа blablabla.onion в некий случайный ip адрес.
при подключении из локалки на этот ip траффик тем или иным способом передается тор серверу.
вот конфиг тора
скрытый текст
Код:
SocksPort 127.0.0.1:9050 IPv6Traffic
SocksPolicy accept 127.0.0.1/32
SocksPolicy accept [::1]/128
SocksPolicy reject *
Log warn file /var/log/tor/tor.log
RunAsDaemon 1
ClientUseIPv6 1
ExcludeExitNodes {RU}
SafeLogging 1
DataDirectory /var/lib/tor
DNSPort [::1]:5300
DNSPort 127.0.0.1:5300
VirtualAddrNetworkIPv6 [fc00::]/40
VirtualAddrNetworkIPv4 10.219.0.0/16
AutomapHostsOnResolve 1
AutomapHostsSuffixes .onion
UseBridges 0
насчет zyxel keenetic ultra не знаю - если там есть линукс то вполне может быть, сам использую всё это на ubiquiti edgerouter lite.
[Профиль]  [ЛС] 

AGENT69

Стаж: 9 лет 8 месяцев

Сообщений: 19


AGENT69 · 13-Дек-15 15:20 (спустя 12 мин.)

[Цитировать] 

Я не понял а ipv4 трафик не идет?
Блин совсем запутался.
fhtagn
Есть возможность как то по порядку обьяснить? Был бы оч признателен.
По всему инету по крупицам собираю инфу.
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 15:41 (спустя 21 мин.)

[Цитировать] 

AGENT69
идет и ipv4 и ipv6
по порядку. наша цель сделать так, чтобы был доступ к заблокированным сайтам через тор, защита от перехвата днс ну и чтобы всё работало без дополнительных настроек на клиентах.
днс
обычно траффик идёт так:
клиент => днс форвардер на роутере (unbound) => dns сервер провайдера
мы используем dnscrypt, он создает шифрованный тоннель что препятствует перехвату dns со стороны провайдера
клиент => днс форвардер => dnscrypt-proxy =(тоннель)=> dnscrypt сервер
прокси
на роутере работает прокси сервер squid в прозрачном режиме и перехватывает весь http и https траффик.
клиент => squid => сайт
если имя сайта в списке заблокированных squid передает этот траффик в тор.
клиент => squid => tor => tor сеть => сайт
[Профиль]  [ЛС] 

AGENT69

Стаж: 9 лет 8 месяцев

Сообщений: 19


AGENT69 · 13-Дек-15 15:55 (спустя 13 мин.)

[Цитировать] 

То есть мне нужно озаботится поднятием на роутере unbound, dnscrypt squid tor??
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 16:13 (спустя 18 мин.)

[Цитировать] 

AGENT69
если хочешь сделать прозрачный доступ к заблокированным ресурсам.
[Профиль]  [ЛС] 

AGENT69

Стаж: 9 лет 8 месяцев

Сообщений: 19


AGENT69 · 13-Дек-15 16:29 (спустя 15 мин.)

[Цитировать] 

Спасибо, буду учить матчасть.
Но мне кажется придется сменить роутер.
[Профиль]  [ЛС] 

Kvach-lukich

Стаж: 7 лет 11 месяцев

Сообщений: 158

Kvach-lukich · 13-Дек-15 16:38 (спустя 9 мин., ред. 13-Дек-15 16:38)

[Цитировать] 

Днс на тор можно настроить на обычном 53 порту и добавить его в настройки клиента помимо провайдеровских.
Если ты используешь тор как Socks proxy то вообще ни чего не нада делать просто поставить галочку http://s001.radikal.ru/i194/1512/c8/72a52ff162b8.png
Сквид прозрачный http прокси , тор - делает нечто вроде Socks прокси, как это сквид может быть прозрачным прокси перебрасывая весь трафик onion в socks proxy? разве не только http так можно?
Ещё гдето видел что торрент настраивают на работу через сокс в торе - это полные наркоманы - не делайте так никада!
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 16:40 (спустя 2 мин.)

[Цитировать] 

Kvach-lukich писал(а):
69508955Сквид прозрачный http прокси , тор - делает нечто вроде Socks прокси, как это сквид может быть прозрачным прокси перебрасывая весь трафик onion в socks proxy? разве не только http так можно?
сквид передает траффик privoxy, который очищает его и передает на сокс тору.
пс. смысл всей идеи - ничего не настраивать на клиентских устройствах ни днс ни прокси.
[Профиль]  [ЛС] 

Kvach-lukich

Стаж: 7 лет 11 месяцев

Сообщений: 158

Kvach-lukich · 13-Дек-15 16:47 (спустя 6 мин.)

[Цитировать] 

fhtagn писал(а):
сквид передает траффик privoxy, который очищает его и передает на сокс тору.
Спасибо
[Профиль]  [ЛС] 

vlad_ns

Top Bonus 05* 10TB

Стаж: 8 лет 4 месяца

Сообщений: 789

vlad_ns · 13-Дек-15 16:50 (спустя 3 мин.)

[Цитировать] 

Kvach-lukich писал(а):
69508955разве не только http так можно?
Можно, если между squid и socks встроить ещё один прокси понимающий socks.
fhtagn писал(а):
69489290А чего не поднять на том-же роутере прозрачный squid и забыть о настройках сайтов и прокси на всех устройствах в сети?
Две проблемы, нужно мудрить с https и проксировать ipv6 (если он есть). С https ещё можно что-то сделать, а вот с проксированием ipv6 совсем не густо. Да и придётся самопальные сертификаты в браузеры скормить, в итоге всё равно на каждом устройстве настраивать. Тут ещё вопрос с udp, у меня адреса типа udp://tracker не работают через прокси.
[Профиль]  [ЛС] 

Kvach-lukich

Стаж: 7 лет 11 месяцев

Сообщений: 158

Kvach-lukich · 13-Дек-15 16:52 (спустя 1 мин., ред. 13-Дек-15 16:52)

[Цитировать] 

А dnat на iptabls нельзя сделать чтобы работал по onoin доменам? и тогда в обычный инет простой маскарад а все пакеты в сеть onion в privoxy напрямую завёрнуты Iptables?
[Профиль]  [ЛС] 

vlad_ns

Top Bonus 05* 10TB

Стаж: 8 лет 4 месяца

Сообщений: 789

vlad_ns · 13-Дек-15 16:56 (спустя 4 мин., ред. 13-Дек-15 16:56)

[Цитировать] 

fhtagn писал(а):
69509018смысл всей идеи - ничего не настраивать на клиентских устройствах ни днс ни прокси.
Смысл то хороший, но privoxy (вы его вроде упоминали) в таком (прозрачном) режиме не работает с https. Или вы сквидом в обход его пускаете?
Kvach-lukich писал(а):
69509111тогда в обычный инет простой маскарад а все пакеты в сеть onion в privoxy напрямую
Так и работает, только это разруливает сам privoxy, с iptables мудрить ничего не нужно. Вот.
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 17:12 (спустя 15 мин., ред. 13-Дек-15 17:18)

[Цитировать] 

Цитата:
Две проблемы, нужно мудрить с https и проксировать ipv6 (если он есть). С https ещё можно что-то сделать, а вот с проксированием ipv6 совсем не густо. Да и придётся самопальные сертификаты в браузеры скормить, в итоге всё равно на каждом устройстве настраивать.
нет проблем с сертами. сквид с версии 3.5.8 поддерживает peek/splice механизм работы с https, что исключает гимор с сертификатами по типу mitm. Мы работаем на уровне ssl приветствий и в траффик не лезем. Этого достаточно чтобы выделить sni, на базе его применить acl и передать, если нужно в privoxy.
c ipv6 проблем нет вообще, всё по аналогии с ipv4 - перехватываем траффик, далее squid
Цитата:
Смысл то хороший, но privoxy (вы его вроде упоминали) в таком (прозрачном) режиме не работает с https. Или вы сквидом в обход его пускаете?
работает. как в squid в режиме ssl connect - не меняя данных (так как они зашифрованы))
Цитата:
А dnat на iptabls нельзя сделать чтобы работал по onoin доменам? и тогда в обычный инет простой маскарад а все пакеты в сеть onion в privoxy напрямую завёрнуты Iptables?
можно. делаем правило переадресации если трафик предназначен для ip адресов которые выдает виртуальный dns сервер тор
прим:
Код:
iptables -t nat -A PREROUTING -i eth2 -d 192.168.111.0/24 -p tcp --dport 80 -J REDIRECT --to-port 8118
где 192.168.111.0/24 - сеть из параметра VirtualAddrNetwork из torrc, а 8118 - порт privoxy
Цитата:
Так и работает, только это разруливает сам privoxy, с iptables мудрить ничего не нужно
у меня в .onion сквид переправляет трафик
[Профиль]  [ЛС] 

Kvach-lukich

Стаж: 7 лет 11 месяцев

Сообщений: 158

Kvach-lukich · 13-Дек-15 17:16 (спустя 4 мин.)

[Цитировать] 

Сам отвечу на вопрос -t nat -A PREROUTING -d onion -j DNAT --to-destination ip:port Должно работать или может быть так ( -d *.onion)
[Профиль]  [ЛС] 

fhtagn

Стаж: 11 лет 6 месяцев

Сообщений: 46

fhtagn · 13-Дек-15 17:18 (спустя 1 мин.)

[Цитировать] 

Kvach-lukich
выше ответил
[Профиль]  [ЛС] 
 
Ответить
Loading...
Error