Lihtne UDP hole punching IPIP-tunneli näitel

Tere päevast!

Selles artiklis tahan rääkida sellest, kuidas ma rakendasin (veel ühe) Bash skripti kahe arvuti ühendamiseks, mis asuvad NAT taga, kasutades UDP hole punching tehnoloogiat, kasutades Ubuntu/Debiani operatsioonisüsteemi näidet.

Ühenduse loomine koosneb mitmest sammust:

1. Sõlme käivitamine ja kaugusõlme valmiduse ootamine;
2. Välise IP-aadressi ja UDP-pordi määramine;
3. Välise IP-aadressi ja UDP-pordi edastamine kaugusõlmele;
4. Välise IP-aadressi ja UDP-pordi saamine kaugusõlmelt;
5. IPIP-tunneli loomine;
6. Ühenduse jälgimine;
7. Ühenduse katkemisel IPIP tunneli kustutamine.

Mõtlesin kaua ja mõtlen veel, mida kasutada andmevahetuseks sõlmede vahel, kõige lihtsam ja kiirem võimalus praegu on töö kaudu Yandex.Diskiga.

• Esiteks, selle kasutamise lihtsus — on vaja 3 sammu: luua, lugeda, kustutada. Curliga on see:
  Loo:

  curl -s -X MKCOL --user "$usename:$password" https://webdav.yandex.ru/$folder

  Loe:

  curl -s --user "$usename:$password" -X PROPFIND -H "Depth: 1" https://webdav.yandex.ru/$folder

  Kusta:

  curl -s -X DELETE --user "$usename:$password" https://webdav.yandex.ru/$folder

• Teiseks, selle paigaldamise lihtsus:

  apt install curl

Välise IP-aadressi ja UDP-pordi määramiseks kasutatakse stun-client käsku:

stun stun.sipnet.ru -v -p $1 2>&1 | grep "MappedAddress"

Paigaldamine käsuga:

apt install stun-client

Tunneli korraldamiseks kasutatakse operatsioonisüsteemi põhivahendeid paketist iproute2. On olemas palju tunneli mis aitavad hallata tutvustatud vahendeid (L2TPv3, GRE jne), aga mina valisin IPIP, kuna see tekitab minimaalset täiendavat koormust süsteemile. Olen proovinud L2TPv3 UDP peal ja jäin pettunuks, kiirus langes 10 korda, kuid see võib olla seotud erinevate piirangutega, mis tulenevad teenusepakkujatest või muust. Kuna IPIP-tunnel töötab IP tasemel, kasutatakse UDP portide tasemel töötamiseks FOU tunnelit. IPIP-tunneli korraldamiseks on vaja:

— laadida FOU moodul:

modprobe fou

— kuulata kohalikku portaali:

ip fou add port $localport ipproto 4

— luua tunnel:

ip link add name fou$name type ipip remote $remoteip local $localip encap fou encap-sport $localport encap-dport $remoteport

— aktiveerida tunneli liides:

ip link set up dev fou$name

— määrata tunneli sisesed kohalik ja kaugne IP-aadress:

ip addr add $intIP peer $peerip dev fou$name

Kustuta tunnel:

ip link del dev fou$name

ip fou del port $localport

Tunneli oleku jälgimine toimub kaughea peegli sise-IP-aadressi perioodilise pingimise kaudu, kasutades käsku:

ping -c 1 $peerip -s 0

Perioodiline pingimine on vajalik eelkõige kanali hoidmiseks, vastasel juhul võivad ruutereid tühjendada NAT-tabelid ja see lõhub ühenduse pingimise katkedes.

Kui ping katkeb, siis IPIP-tunnel eemaldatakse ja ootab kaughea valmidust.

The script itself:

#!/bin/bash
username="username@yandex.ru"
password="password"
folder="vpnid"
intip="10.0.0.1"
localport=`shuf -i 10000-65000 -n 1`
cid=`shuf -i 10000-99999 -n 1`
tid=`shuf -i 10-99 -n 1`
function yaread {
        curl -s --user "$1:$2" -X PROPFIND -H "Depth: 1" https://webdav.yandex.ru/$3 | sed 's/></>n</g' | grep "displayname" | sed 's/<d:displayname>//g' | sed 's/</d:displayname>//g' | grep -v $3 | grep -v $4 | sort -r
}
function yacreate {
        curl -s -X MKCOL --user "$1:$2" https://webdav.yandex.ru/$3
}
function yadelete {
        curl -s -X DELETE --user "$1:$2" https://webdav.yandex.ru/$3
}
function myipport {
        stun stun.sipnet.ru -v -p $1 2>&1 | grep "MappedAddress" | sort | uniq | awk '{print $3}' | head -n1
}
function tunnel-up {
	modprobe fou
	ip fou add port $4 ipproto 4
	ip link add name fou$7 type ipip remote $1 local $3 encap fou encap-sport $4 encap-dport $2
	ip link set up dev fou$7
	ip addr add $6 peer $5 dev fou$7
}
function tunnel-check {
	sleep 10
        pings=0
        until [[ $pings == 4 ]]; do
                if ping -c 1 $1 -s 0 &>/dev/null;
                        then    echo -n .; n=0
                        else    echo -n !; ((pings++))
                fi
		sleep 15
        done
}
function tunnel-down {
	ip link del dev fou$1
	ip fou del port $2
}
trap 'echo -e "nDisconnecting..." && yadelete $username $password $folder; tunnel-down $tunnelid $localport; echo "IPIP tunnel disconnected!"; exit 1' 1 2 3 8 9 14 15
until [[ -n $end ]]; do
    yacreate $username $password $folder
    until [[ -n $ip ]]; do
        mydate=`date +%s`
        timeout="60"
        list=`yaread $username $password $folder $cid | head -n1`
        yacreate $username $password $folder/$mydate:$cid
        for l in $list; do
                if [ `echo $l | sed 's/:/ /g' | awk {'print $1'}` -ge $(($mydate-65)) ]; then
			#echo $list
                        myipport=`myipport $localport`
                        yacreate $username $password $folder/$mydate:$cid:$myipport:$intip:$tid
                        timeout=$(( $timeout + `echo $l | sed 's/:/ /g' | awk {'print $1'}` - $mydate + 3 ))
                        ip=`echo $l | sed 's/:/ /g' | awk '{print $3}'`
                        port=`echo $l | sed 's/:/ /g' | awk '{print $4}'`
                        peerip=`echo $l | sed 's/:/ /g' | awk '{print $5}'`
			peerid=`echo $l | sed 's/:/ /g' | awk '{print $6}'`
			if [[ -n $peerid ]]; then tunnelid=$(($peerid*$tid)); fi
                fi
        done
        if ( [[ -z "$ip" ]] && [ "$timeout" -gt 0 ] ) ; then
                echo -n "!"
                sleep $timeout
        fi
    done
    localip=`ip route get $ip | head -n1 | sed 's|.*src ||' | cut -d' ' -f1`
    tunnel-up $ip $port $localip $localport $peerip $intip $tunnelid
    tunnel-check $peerip
    tunnel-down $tunnelid $localport
    yadelete $username $password $folder
    unset ip port myipport
done
exit 0

Muutujad username, parool ja kaust peavad olema mõlemal küljel samad, kuid intip — erinevad, näiteks: 10.0.0.1 ja 10.0.0.2. Aeg sõlmedes peab olema sünkroniseeritud. Skripti käivitamiseks võib kasutada:

nohup script.sh &

Tahan märkida, et IPIP-tunnel ei ole turvaline, kuna liiklust ei krüpteerita, kuid selle saab lihtsalt lahendada IPsec-i abil, selles artiklissee tundus mulle lihtne ja arusaadav.

Olen kasutanud seda skripti ühendamiseks töölauaga juba paar nädalat ega ole probleemide pärast mures. Mugav on see, et seadistasin ära ja unustasin.

Võib-olla on teil märkusi ja ettepanekuid, olen nende üle rõõmus.

Aitäh tähelepanu eest!

Allikas: habr.com