Dans cet article, je voudrais vous dévoiler les possibilités du proxying transparent, qui permet de rediriger tout ou partie du trafic via des serveurs proxy externes de manière totalement inaperçue des clients.
Lorsque j'ai commencé à résoudre ce problème, j'ai rencontré le fait que sa mise en œuvre avait un problème important - le protocole HTTPS. Au bon vieux temps, il n'y avait pas de problèmes particuliers avec le proxy HTTP transparent, mais avec le proxy HTTPS, les navigateurs signalent des interférences de protocole et c'est là que le bonheur s'arrête.
Dans les instructions courantes pour le serveur proxy Squid, ils proposent même de générer leur propre certificat et de l'installer sur les clients, ce qui est un non-sens complet pour le moins irrationnel et ressemble à une attaque MITM. Je sais que Squid sait déjà comment faire quelque chose de similaire, mais cet article concerne une méthode éprouvée et fonctionnelle utilisant 3proxy du respecté 3APA3A.
Ensuite, nous verrons de plus près le processus de construction de 3proxy à partir des sources, sa configuration, le proxy complet et sélectif utilisant NAT, la distribution du canal à plusieurs serveurs proxy externes, ainsi que l'utilisation d'un routeur et de routes statiques. Nous utilisons Debian 9 x64 comme système d'exploitation. Commencer!
Installation de 3proxy et exécution d'un proxy normal
1. Installez ifconfig (à partir du package net-tools)
apt-get install net-tools
2. Installez Midnight Commander
apt-get install mc
3. Nous avons maintenant 2 interfaces :
enp0s3 - externe, regarde Internet
enp0s8 - interne, doit se pencher sur le réseau local
Dans d'autres distributions basées sur Debian, les interfaces sont généralement nommées eth0 et eth1.
ifconfig -a
Interfacesenp0s3 : drapeaux=4163 mtu 1500
inet 192.168.23.11 masque de réseau 255.255.255.0 diffusion 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64 scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (Ethernet)
Paquets RX 6412 octets 8676619 (8.2 Mio)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 1726 octets 289128 (282.3 Ko)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
enp0s8 : drapeaux=4098 mtu 1500
éther 08:00:27:79:a7:e3 txqueuelen 1000 (Ethernet)
Paquets RX 0 octets 0 (0.0 B)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 0 octets 0 (0.0 B)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
lo : drapeaux=73 mtu 65536
inet 127.0.0.1 masque de réseau 255.0.0.0
inet6 ::1 prefixlen 128 scopeid 0x10 boucle txqueuelen 1 (bouclage local)
Paquets RX 0 octets 0 (0.0 B)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 0 octets 0 (0.0 B)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
L'interface enp0s8 n'est actuellement pas utilisée, nous l'activerons lorsque nous voudrons utiliser la configuration Proxy NAT ou NAT. C'est alors qu'il serait logique de lui attribuer une ip statique.
4. Commençons à installer 3proxy
4.1 Installation des packages de base pour compiler 3proxy à partir des sources
root@debian9:~# apt-get install build-essential libevent-dev libssl-dev -y
4.2. Créer un dossier pour télécharger l'archive avec les sources
root@debian9:~# mkdir -p /opt/proxy
4.3. Allons dans ce dossier
root@debian9:~# cd /opt/proxy
4.4. Maintenant, téléchargeons le dernier package 3proxy. Au moment d'écrire ces lignes, la dernière version stable était la 0.8.12 (18/04/2018) Téléchargez-la sur le site officiel de 3proxy
root@debian9:/opt/proxy# wget https://github.com/z3APA3A/3proxy/archive/0.8.12.tar.gz
4.5. Décompressez l'archive téléchargée
root@debian9:/opt/proxy# tar zxvf 0.8.12.tar.gz
4.6. Allez dans le répertoire décompressé pour construire le programme
root@debian9:/opt/proxy# cd 3proxy-0.8.12
4.7. Ensuite, vous devez ajouter une ligne au fichier d'en-tête afin que notre serveur soit complètement anonyme (cela fonctionne vraiment, tout est vérifié, les adresses IP des clients sont masquées)
root@debian9:/opt/proxy/3proxy-0.8.12# nano +29 src/proxy.h
Ajout d'une ligne
#define ANONYMOUS 1
Appuyez sur Ctrl+x et Entrée pour enregistrer les modifications.
4.8. Construisons le programme
root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux
makelogmake[2] : Départ du répertoire '/opt/proxy/3proxy-0.8.12/src/plugins/TransparentPlugin'
make[1] : sortie du répertoire '/opt/proxy/3proxy-0.8.12/src'
Aucune erreur, continuez.
4.9. Installer le programme sur le système
root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux install
4.10. Allez dans le répertoire racine et vérifiez où le programme a été installé
root@debian9:/opt/proxy/3proxy-0.8.12# cd ~/
root@debian9:~# whereis 3proxy
3proxy : /usr/local/bin/3proxy /usr/local/etc/3proxy
4.11. Créons un dossier pour les fichiers de configuration et les journaux dans le répertoire personnel de l'utilisateur
root@debian9:~# mkdir -p /home/joke/proxy/logs
4.12. Allez dans le répertoire où la configuration doit être
root@debian9:~# cd /home/joke/proxy/
4.13. Créez un fichier vide et copiez-y la configuration
root@debian9:/home/joke/proxy# cat > 3proxy.conf
3proxy.confdémon
fichier pid /home/blague/proxy/3proxy.pid
serveur 8.8.8.8
nscache 65536
testeur utilisateur : CL : 1234
temporisations 1 5 30 60 180 1800 16 60
log /home/blague/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
faire pivoter 3
authentification forte
affleurer
autoriser le testeur
chaussettes -p3128
proxy-p8080
Pour enregistrer, appuyez sur Ctrl + Z
4.14. Créons un fichier pid afin qu'il n'y ait pas d'erreurs de démarrage.
root@debian9:/home/joke/proxy# cat > 3proxy.pid
Pour enregistrer, appuyez sur Ctrl + Z
4.15. Démarrons le serveur proxy !
root@debian9:/home/joke/proxy# 3proxy /home/joke/proxy/3proxy.conf
4.16. Voyons si le serveur écoute sur les ports
root@debian9:~/home/joke/proxy# netstat -nlp
journal netstatConnexions Internet actives (serveurs uniquement)
Proto Recv-Q Send-Q Adresse locale Adresse étrangère État PID/Nom du programme
tcp 0 0 0.0.0.0:8080 0.0.0.0:* ÉCOUTER 504/3proxy
tcp 0 0 0.0.0.0:22 0.0.0.0:* ÉCOUTER 338/sshd
tcp 0 0 0.0.0.0:3128 0.0.0.0:* ÉCOUTER 504/3proxy
tcp6 0 0 :::22 :::* ÉCOUTEZ 338/sshd
udp 0 0 0.0.0.0:68 0.0.0.0:* 352/dhclient
Comme il a été écrit dans la configuration, le proxy Web écoute sur le port 8080, proxy Socks5 - 3128.
4.17. Pour démarrer automatiquement le service proxy après un redémarrage, vous devez l'ajouter à cron.
root@debian9:/home/joke/proxy# crontab -e
Ajout d'une ligne
@reboot /usr/local/bin/3proxy /home/joke/proxy/3proxy.conf
Nous appuyons sur Entrée, car cron devrait voir le caractère de fin de ligne et enregistrer le fichier.
Il devrait y avoir un message sur l'installation d'un nouveau crontab.
crontab : installation d'une nouvelle crontab
4.18. Redémarrons le système et essayons de nous connecter via le navigateur au proxy. Pour vérification, nous utilisons le navigateur Firefox (pour un proxy Web) et le module complémentaire FoxyProxy pour socks5 avec authentification.
root@debian9:/home/joke/proxy# reboot
4.19. Après avoir vérifié le travail du proxy après le redémarrage, vous pouvez voir les journaux. Ceci termine la configuration du serveur proxy.
3 journal proxy1542573996.018 PROXY.8080 00000 testeur 192.168.23.10:50915 217.12.15.54:443 1193 6939 0 CONNECT_ads.yahoo.com:443_HTTP/1.1
1542574289.634 SOCK5.3128 00000 testeur 192.168.23.10:51193 54.192.13.69:443 0 0 0 CONNECT_normandy.cdn.mozilla.net:443
Configuration et exécution de la configuration NAT Transparent Proxy
Dans cette configuration, tous les appareils du réseau interne fonctionneront de manière transparente sur Internet via un serveur proxy distant. Absolument toutes les connexions tcp seront redirigées vers un ou plusieurs serveurs proxy (augmente vraiment la largeur du canal, exemple de configuration n° 2 !). Le service DNS utilisera les fonctionnalités 3proxy (dnspr). UDP ne va pas "sortir" de l'extérieur, puisque nous n'utilisons pas encore le mécanisme de transfert (désactivé par défaut dans le noyau Linux).
1. Il est temps d'activer l'interface enp0s8
root@debian9:~# nano /etc/network/interfaces
fichier /etc/network/interfaces# Ce fichier décrit les interfaces réseau disponibles sur votre système
# Et comment les activer. Pour plus d'informations, voir interfaces (5).
source /etc/network/interfaces.d/*
# L'interface réseau loopback
automobile, il
iface lo inet loopback
# L'interface réseau principale
Autoriser hotplug enp0s3
iface enp0s3 inet DHCP
# L'interface réseau secondaire
Autoriser hotplug enp0s8
iface enp0s8 inet statique
adresse 192.168.201.254
masque de réseau 255.255.255.0
Ici, nous avons attribué à l'interface enp0s8 une adresse statique 192.168.201.254 et un masque 255.255.255.0
Enregistrez la configuration Ctrl + X et redémarrez
root@debian9:~# reboot
2. Vérification des interfaces
root@debian9:~# ifconfig
journal ifconfigenp0s3 : drapeaux=4163 mtu 1500
inet 192.168.23.11 masque de réseau 255.255.255.0 diffusion 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64 scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (Ethernet)
Paquets RX 61 octets 7873 (7.6 Kio)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 65 octets 10917 (10.6 Ko)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
enp0s8 : drapeaux=4163 mtu 1500
inet 192.168.201.254 masque de réseau 255.255.255.0 diffusion 192.168.201.255
inet6 fe80::a00:27ff:fe79:a7e3 prefixlen 64 scopeid 0x20 ether 08:00:27:79:a7:e3 txqueuelen 1000 (Ethernet)
Paquets RX 0 octets 0 (0.0 B)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 8 octets 648 (648.0 B)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
lo : drapeaux=73 mtu 65536
inet 127.0.0.1 masque de réseau 255.0.0.0
inet6 ::1 prefixlen 128 scopeid 0x10 boucle txqueuelen 1 (bouclage local)
Paquets RX 0 octets 0 (0.0 B)
Erreurs de réception 0 abandonnées 0 dépassements 0 trame 0
Paquets TX 0 octets 0 (0.0 B)
Erreurs TX 0 abandonnées 0 dépassements 0 porteuse 0 collisions 0
3. Tout a fonctionné, vous devez maintenant configurer 3proxy pour un proxy transparent.
root@debian9:~# cd /home/joke/proxy/
root@debian9:/home/joke/proxy# cat > 3proxytransp.conf
Exemple de configuration de proxy transparent #1démon
fichier pid /home/blague/proxy/3proxy.pid
serveur 8.8.8.8
nscache 65536
temporisations 1 5 30 60 180 1800 16 60
log /home/blague/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
faire pivoter 3
affleurer
auth unique
dnspr
permettre *
parent 1000 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY 3128 testeur 1234
plugin /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.so transparent_plugin
tcppm-i0.0.0.0 888 127.0.0.1 11111
4. Maintenant, exécutez 3proxy avec une nouvelle configuration
root@debian9:/home/joke/proxy# /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf
5. Ajouter à nouveau à la crontab
root@debian9:/home/joke/proxy# crontab -e
@reboot /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf
6. Voyons ce que notre proxy écoute maintenant
root@debian9:~# netstat -nlp
journal netstatConnexions Internet actives (serveurs uniquement)
Proto Recv-Q Send-Q Adresse locale Adresse étrangère État PID/Nom du programme
tcp 0 0 0.0.0.0:22 0.0.0.0:* ÉCOUTER 349/sshd
tcp 0 0 0.0.0.0:888 0.0.0.0:* ÉCOUTER 354/3proxy
tcp6 0 0 :::22 :::* ÉCOUTEZ 349/sshd
udp 0 0 0.0.0.0:53 0.0.0.0:* 354/3proxy
udp 0 0 0.0.0.0:68 0.0.0.0:* 367/dhclient
7. Le proxy est maintenant prêt à accepter toutes les connexions TCP sur le port 888, DNS sur le port 53, afin de les rediriger vers des chaussettes distantes5 - proxy et DNS Google 8.8.8.8. Il nous reste à configurer les règles netfilter (iptables) et DHCP pour l'émission des adresses.
8. Installez les packages iptables-persistent et dhcpd
root@debian9:~# apt-get install iptables-persistent isc-dhcp-server
9. Modifiez le fichier de démarrage dhcpd
root@debian9:~# nano /etc/dhcp/dhcpd.conf
dhcpd.conf#dhcpd.conf
#
# Exemple de fichier de configuration pour ISC dhcpd
#
# définitions d'options communes à tous les réseaux pris en charge…
option nom de domaine "exemple.org" ;
option serveurs de noms de domaine ns1.example.org, ns2.example.org ;
temps de bail par défaut 600;
durée de location maximale 7200 ;
ddns-update-style aucun ;
# Si ce serveur DHCP est le serveur DHCP officiel pour le
# network, la directive faisant autorité doit être décommentée.
faisant autorité;
# Une configuration légèrement différente pour un sous-réseau interne.
sous-réseau 192.168.201.0 masque de réseau 255.255.255.0 {
plage 192.168.201.10 192.168.201.250;
option serveurs de noms de domaine 192.168.201.254 ;
routeurs d'option 192.168.201.254;
option adresse de diffusion 192.168.201.255;
temps de bail par défaut 600;
durée de location maximale 7200 ;
}
11. Redémarrez et vérifiez le service sur le port 67
root@debian9:~# reboot
root@debian9:~# netstat -nlp
journal netstatConnexions Internet actives (serveurs uniquement)
Proto Recv-Q Send-Q Adresse locale Adresse étrangère État PID/Nom du programme
tcp 0 0 0.0.0.0:22 0.0.0.0:* ÉCOUTER 389/sshd
tcp 0 0 0.0.0.0:888 0.0.0.0:* ÉCOUTER 310/3proxy
tcp6 0 0 :::22 :::* ÉCOUTEZ 389/sshd
udp 0 0 0.0.0.0:20364 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:53 0.0.0.0:* 310/3proxy
udp 0 0 0.0.0.0:67 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:68 0.0.0.0:* 405/dhclient
udp6 0 0 :::31728 :::* 393/dhcpd
brut 0 0 0.0.0.0:1 0.0.0.0:* 393/dhcpd
12. Il reste à rediriger toutes les requêtes tcp vers le port 888 et à enregistrer la règle dans iptables
root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -p tcp -j REDIRECT --to-ports 888
root@debian9:~# iptables-save > /etc/iptables/rules.v4
13. Pour étendre la bande passante du canal, vous pouvez utiliser plusieurs serveurs proxy à la fois. Le montant total doit être de 1000. De nouvelles connexions sont établies avec une probabilité de 0.2, 0.2, 0.2, 0.2, 0,1, 0,1 vers les serveurs proxy spécifiés.
Remarque : si nous avons un proxy Web, au lieu de socks5, vous devez écrire connect, si socks4, puis socks4 (socks4 NE SUPPORTE PAS L'AUTORISATION DE CONNEXION / MOT DE PASSE !)
Exemple de configuration de proxy transparent #2démon
fichier pid /home/blague/proxy/3proxy.pid
serveur 8.8.8.8
nscache 65536
max conn 500
temporisations 1 5 30 60 180 1800 16 60
log /home/blague/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
faire pivoter 3
affleurer
auth unique
dnspr
permettre *
parent 200 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#1 3128 testeur 1234
parent 200 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#2 3128 testeur 1234
parent 200 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#3 3128 testeur 1234
parent 200 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#4 3128 testeur 1234
parent 100 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#5 3128 testeur 1234
parent 100 chaussettes5 IP_ADDRESS_EXTERNAL_PROXY#6 3128 testeur 1234
plugin /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.so transparent_plugin
tcppm-i0.0.0.0 888 127.0.0.1 11111
Mise en place et exécution de la configuration NAT + Transparent Proxy
Dans cette configuration, nous utiliserons le mécanisme NAT habituel avec un proxy sélectif ou totalement transparent d'adresses individuelles ou de sous-réseaux. Les utilisateurs du réseau interne travailleront avec certains services/sous-réseaux sans même se rendre compte qu'ils travaillent via un proxy. Toutes les connexions https fonctionnent correctement, aucun certificat ne doit être généré / remplacé.
Tout d'abord, décidons quels sous-réseaux/services nous voulons proxy. Supposons que des proxys externes se trouvent là où un service comme pandora.com est en cours d'exécution. Reste maintenant à déterminer ses sous-réseaux/adresses.
1. Ping
root@debian9:~# ping pandora.com
PING pandora.com (208.85.40.20) 56(84) octets de données.
2. Nous tapons Google BGP 208.85.40.20
Aller sur le site
On peut voir que le sous-réseau que je recherche est AS40428 Pandora Media, Inc.
Préfixes d'ouverture v4
Voici les sous-réseaux requis !
199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
199.116.164.0/24
199.116.165.0/24
208.85.40.0/24
208.85.41.0/24
208.85.42.0/23
208.85.42.0/24
208.85.43.0/24
208.85.44.0/24
208.85.46.0/23
208.85.46.0/24
208.85.47.0/24
3. Pour réduire le nombre de sous-réseaux, vous devez effectuer une agrégation. Allons sur le site et copiez notre liste ici. En conséquence - 6 sous-réseaux au lieu de 14.
199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
208.85.40.0/22
208.85.44.0/24
208.85.46.0/23
4. Nettoyer les règles iptables
root@debian9:~# iptables -F
root@debian9:~# iptables -X
root@debian9:~# iptables -t nat -F
root@debian9:~# iptables -t nat -X
Activer le mécanisme de transfert et NAT
root@debian9:~# echo 1 > /proc/sys/net/ipv4/ip_forward
root@debian9:~# iptables -A FORWARD -i enp0s3 -o enp0s8 -j ACCEPT
root@debian9:~# iptables -A FORWARD -i enp0s8 -o enp0s3 -j ACCEPT
root@debian9:~# iptables -t nat -A POSTROUTING -o enp0s3 -s 192.168.201.0/24 -j MASQUERADE
Pour que le transfert soit activé de manière permanente après le redémarrage, nous allons modifier le fichier
root@debian9:~# nano /etc/sysctl.conf
Et décommentez la ligne
net.ipv4.ip_forward = 1
Ctrl+X pour enregistrer le fichier
5. Enveloppez les sous-réseaux pandora.com dans un proxy
root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888
6. Enregistrez les règles
root@debian9:~# iptables-save > /etc/iptables/rules.v4
Configuration et exécution du proxy transparent via la configuration du routeur
Dans cette configuration, le serveur proxy transparent peut être un PC séparé ou une machine virtuelle derrière un routeur domestique/d'entreprise. Il suffit d'enregistrer des routes statiques sur le routeur ou les appareils, et l'ensemble du sous-réseau utilisera le proxy sans avoir besoin de paramètres supplémentaires.
IMPORTANT! Il est nécessaire que notre passerelle reçoive une adresse IP statique du routeur, ou soit configurée pour elle-même en statique.
1. Configurez une adresse de passerelle statique (adaptateur enp0s3)
root@debian9:~# nano /etc/network/interfaces
fichier /etc/network/interfaces# Ce fichier décrit les interfaces réseau disponibles sur votre système
# Et comment les activer. Pour plus d'informations, voir interfaces (5).
source /etc/network/interfaces.d/*
# L'interface réseau loopback
automobile, il
iface lo inet loopback
# L'interface réseau principale
Autoriser hotplug enp0s3
iface enp0s3 inet statique
adresse 192.168.23.2
masque de réseau 255.255.255.0
passerelle 192.168.23.254
# L'interface réseau secondaire
Autoriser hotplug enp0s8
iface enp0s8 inet statique
adresse 192.168.201.254
masque de réseau 255.255.255.0
2. Autoriser les appareils du sous-réseau 192.168.23.0/24 à utiliser le proxy
root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.23.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888
3. Enregistrez les règles
root@debian9:~# iptables-save > /etc/iptables/rules.v4
4. Écrivons des sous-réseaux sur le routeur
Liste des réseaux de routeurs+199.116.161.0 (255.255.255.0)192.168.23.2
+199.116.162.0 (255.255.255.0)192.168.23.2
+199.116.164.0 (255.255.254.0)192.168.23.2
+208.85.40.0 (255.255.252.0)192.168.23.2
+208.85.44.0 (255.255.255.0)192.168.23.2
+208.85.46.0 (255.255.254.0)192.168.23.2
Matériaux/ressources utilisés
1. Site officiel du programme 3proxy
2. Instructions pour installer 3proxy à partir des sources
3. Branche développeur 3proxy sur GitHub
Source: habr.com