3proxy と iptables/netfilter を使用した透過プロキシの基本、または「すべてをプロキシ経由で実行する」方法

この記事では、クライアントにまったく気付かれずにトラフィックのすべてまたは一部を外部プロキシ サーバー経由でリダイレクトできる透過プロキシの可能性について明らかにしたいと思います。

この問題を解決し始めたとき、その実装には HTTPS プロトコルという XNUMX つの重大な問題があるという事実に直面しました。 古き良き時代には、透過的な HTTP プロキシには特別な問題はありませんでしたが、HTTPS プロキシの場合、ブラウザはプロトコルへの干渉を報告し、それで幸せは終わります。

Squid プロキシ サーバーの一般的な手順では、独自の証明書を生成してクライアントにインストールすることさえ提案されていますが、これは少なくとも完全にナンセンスで非合理的であり、MITM 攻撃のように見えます。 Squid がすでに同様のことを実行できることは知っていますが、この記事は、評判の高い 3APA3A の 3proxy を使用した実証済みの実用的な方法についてのものです。

次に、ソースから 3proxy を構築するプロセス、その構成、NAT を使用した完全な選択的プロキシ、複数の外部プロキシ サーバーへのチャネル分散、ルーターと静的ルートの使用について詳しく見ていきます。 OSとしてDebian 9 x64を使用しています。 始める！

3proxy のインストールと通常のプロキシ サーバーの実行

1. ifconfig をインストールします (net-tools パッケージから)
apt-get install net-tools
2.Midnight Commanderをインストールする
apt-get install mc
3. これで 2 つのインターフェースができました。
enp0s3 - 外部、インターネットを参照
enp0s8 - 内部、ローカルネットワークを調べる必要があります
他の Debian ベースのディストリビューションでは、インターフェイスの名前は通常 eth0 および eth1 です。
ifconfig -a

インターフェースenp0s3: フラグ=4163 MTU 1500
inet 192.168.23.11 ネットマスク 255.255.255.0 ブロードキャスト 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (イーサネット)
RX パケット 6412 バイト 8676619 (8.2 MiB)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 1726 バイト 289128 (282.3 KiB)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

enp0s8: フラグ=4098 MTU 1500
エーテル 08:00:27:79:a7:e3 txqueuelen 1000 (イーサネット)
RX パケット 0 バイト 0 (0.0 B)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 0 バイト 0 (0.0 B)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

lo: フラグ=73 mtu 65536
inet 127.0.0.1 ネットマスク 255.0.0.0
inet6 ::1 prefixlen 128 スコープ ID 0x10 ループ txqueuelen 1 (ローカル ループバック)
RX パケット 0 バイト 0 (0.0 B)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 0 バイト 0 (0.0 B)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

enp0s8 インターフェイスは現在使用されていません。プロキシ NAT または NAT 構成を使用する場合は有効にします。 その場合、静的 IP を割り当てるのが論理的になります。

4. 3proxy のインストールを開始しましょう

4.1 ソースから 3proxy をコンパイルするための基本パッケージをインストールする

root@debian9:~# apt-get install build-essential libevent-dev libssl-dev -y

4.2. ソースを含むアーカイブをダウンロードするためのフォルダーを作成しましょう

root@debian9:~# mkdir -p /opt/proxy

4.3. このフォルダに行きましょう

root@debian9:~# cd /opt/proxy


4.4. それでは、最新の 3proxy パッケージをダウンロードしましょう。 執筆時点での最新の安定バージョンは 0.8.12 (18/04/2018) 3proxy の公式 Web サイトからダウンロードします。

root@debian9:/opt/proxy# wget https://github.com/z3APA3A/3proxy/archive/0.8.12.tar.gz


4.5. ダウンロードしたアーカイブを解凍してみましょう

root@debian9:/opt/proxy# tar zxvf 0.8.12.tar.gz

4.6. 解凍されたディレクトリに移動してプログラムをビルドします

root@debian9:/opt/proxy# cd 3proxy-0.8.12

4.7. 次に、サーバーが完全に匿名になるようにヘッダー ファイルに行を追加する必要があります (実際に機能し、すべてがチェックされ、クライアント IP は非表示になります)。

root@debian9:/opt/proxy/3proxy-0.8.12# nano +29 src/proxy.h

行を追加

#define ANONYMOUS 1

Ctrl+x と Enter を押して変更を保存します。

4.8. プログラムを組み立ててみましょう

root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux

メイクログmake[2]: ディレクトリ「/opt/proxy/3proxy-0.8.12/src/plugins/TransparentPlugin」を終了します
make[1]: ディレクトリ「/opt/proxy/3proxy-0.8.12/src」を終了します

エラーはありません。続行しましょう。

4.9. システムにプログラムをインストールする

root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux install

4.10. ルート ディレクトリに移動し、プログラムがインストールされた場所を確認します。

root@debian9:/opt/proxy/3proxy-0.8.12# cd ~/
root@debian9:~# whereis 3proxy
3proxy: /usr/local/bin/3proxy /usr/local/etc/3proxy

4.11。 ユーザーのホームディレクトリに設定ファイルとログ用のフォルダーを作成しましょう

root@debian9:~# mkdir -p /home/joke/proxy/logs

4.12. 設定を置くディレクトリに移動します。

root@debian9:~# cd /home/joke/proxy/

4.13。 空のファイルを作成し、そこに設定をコピーします

root@debian9:/home/joke/proxy# cat > 3proxy.conf

3proxy.confデーモン
pidfile /home/joke/proxy/3proxy.pid
nサーバー8.8.8.8
nscache 65536
ユーザーテスター:CL:1234
タイムアウト 1 5 30 60 180 1800 16 60
ログ/home/joke/proxy/logs/3proxy.log D
ログ形式 "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
回転3
強い認証
フラッシュ
テスターを許可する
靴下 -p3128
プロキシ -p8080

保存するには、Ctrl + Zを押します

4.14。 起動時にエラーが出ないようにpidファイルを作成しましょう。

root@debian9:/home/joke/proxy# cat > 3proxy.pid

保存するには、Ctrl + Zを押します

4.15。 プロキシサーバーを起動しましょう！

root@debian9:/home/joke/proxy# 3proxy /home/joke/proxy/3proxy.conf

4.16。 サーバーがポートをリッスンしているかどうかを確認してみましょう

root@debian9:~/home/joke/proxy# netstat -nlp

ネット統計ログアクティブなインターネット接続 (サーバーのみ)
Proto Recv-Q Send-Q ローカル アドレス 外部アドレス 状態 PID/プログラム名
tcp 0 0 0.0.0.0:8080 0.0.0.0:* 504/3プロキシをリッスン
tcp 0 0 0.0.0.0:22 0.0.0.0:* リッスン 338/sshd
tcp 0 0 0.0.0.0:3128 0.0.0.0:* 504/3プロキシをリッスン
tcp6 0 0 :::22 :::* リッスン 338/sshd
udp 0 0 0.0.0.0:68 0.0.0.0:* 352/dhclient

設定に書かれているように、Web プロキシはポート 8080 をリッスンし、Socks5 プロキシはポート 3128 をリッスンします。

4.17。 再起動後にプロキシ サービスを自動開始するには、それを cron に追加する必要があります。

root@debian9:/home/joke/proxy# crontab -e

行を追加

@reboot /usr/local/bin/3proxy /home/joke/proxy/3proxy.conf

cron は行末文字を確認する必要があるため、Enter キーを押してファイルを保存します。

新しい crontab のインストールに関するメッセージが表示されるはずです。

crontab: 新しい crontab のインストール

4.18。 システムを再起動し、ブラウザ経由でプロキシに接続してみましょう。 確認するには、Firefox ブラウザー (Web プロキシ用) と、認証付きの Socks5 用の FoxyProxy アドオンを使用します。

root@debian9:/home/joke/proxy# reboot

4.19。 再起動後にプロキシの動作を確認した後、ログを表示できます。 これでプロキシサーバーの設定は完了です。

3 プロキシログ1542573996.018 PROXY.8080 00000 テスター 192.168.23.10:50915 217.12.15.54:443 1193 6939 0 CONNECT_ads.yahoo.com:443_HTTP/1.1
1542574289.634 SOCK5.3128 00000 テスター 192.168.23.10:51193 54.192.13.69:443 0 0 0 CONNECT_normandy.cdn.mozilla.net:443

透過的プロキシ NAT 構成のセットアップと実行

この構成では、内部ネットワーク上のすべてのデバイスが、リモート プロキシ サーバーを通じてインターネット上で透過的に動作します。 絶対にすべての TCP 接続は 2 つ以上のプロキシ サーバー (実際にチャネル幅が拡張されます。構成例 3 番!) にリダイレクトされます。 DNS サービスは XNUMXproxy (dnspr) 機能を使用します。 まだ転送メカニズム (Linux カーネルではデフォルトで無効になっています) を使用していないため、UDP は外部に「移動」しません。

1. enp0s8 インターフェイスを有効にします

root@debian9:~# nano /etc/network/interfaces

/etc/network/interfaces ファイル＃このファイルには、システム上で利用可能なネットワークインターフェイスを説明します
＃そしてどのようにそれらをアクティブにする。 詳細については、（5）インターフェイスを参照してください。

ソース /etc/network/interfaces.d/*

＃ループバックネットワークインターフェース
オートそれ
ifaceをLOのinetループバック

# プライマリ ネットワーク インターフェイス
許可ホットプラグ enp0s3
iface enp0s3 inet dhcp

# セカンダリネットワークインターフェース
許可ホットプラグ enp0s8
iface enp0s8 inet 静的
アドレス192.168.201.254
ネット255.255.255.0

ここでは、enp0s8 インターフェイスに静的アドレス 192.168.201.254 とマスク 255.255.255.0 を割り当てました。
設定を保存 Ctrl+X して再起動します

root@debian9:~# reboot

2. インターフェースの確認

root@debian9:~# ifconfig

ifconfig ログenp0s3: フラグ=4163 MTU 1500
inet 192.168.23.11 ネットマスク 255.255.255.0 ブロードキャスト 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (イーサネット)
RX パケット 61 バイト 7873 (7.6 KiB)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 65 バイト 10917 (10.6 KiB)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

enp0s8: フラグ=4163 MTU 1500
inet 192.168.201.254 ネットマスク 255.255.255.0 ブロードキャスト 192.168.201.255
inet6 fe80::a00:27ff:fe79:a7e3 prefixlen 64scopeid 0x20 ether 08:00:27:79:a7:e3 txqueuelen 1000 (イーサネット)
RX パケット 0 バイト 0 (0.0 B)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 8 バイト 648 (648.0 B)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

lo: フラグ=73 mtu 65536
inet 127.0.0.1 ネットマスク 255.0.0.0
inet6 ::1 prefixlen 128 スコープ ID 0x10 ループ txqueuelen 1 (ローカル ループバック)
RX パケット 0 バイト 0 (0.0 B)
RX エラー 0 ドロップ 0 オーバーラン 0 フレーム 0
TX パケット 0 バイト 0 (0.0 B)
TX エラー 0 ドロップ 0 オーバーラン 0 キャリア 0 コリジョン 0

3. すべてがうまくいきました。次に、透過プロキシ用に 3proxy を設定する必要があります。

root@debian9:~# cd /home/joke/proxy/
root@debian9:/home/joke/proxy# cat > 3proxytransp.conf

透過プロキシサーバNo.1の構成例デーモン
pidfile /home/joke/proxy/3proxy.pid
nサーバー8.8.8.8
nscache 65536
タイムアウト 1 5 30 60 180 1800 16 60
ログ/home/joke/proxy/logs/3proxy.log D
ログ形式 "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
回転3
フラッシュ
独占的に認証する
dnspr
許可する *
親 1000 ソックス 5 EXTERNAL_PROXY の IP アドレス 3128 テスター 1234
プラグイン /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.soparent_plugin
tcppm -i0.0.0.0 888 127.0.0.1 11111

4. 新しい設定で 3proxy を起動します。
root@debian9:/home/joke/proxy# /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf

5. 再度crontabに追加
root@debian9:/home/joke/proxy# crontab -e
@reboot /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf

6. プロキシが今何を聞いているか見てみましょう
root@debian9:~# netstat -nlp


ネット統計ログアクティブなインターネット接続 (サーバーのみ)
Proto Recv-Q Send-Q ローカル アドレス 外部アドレス 状態 PID/プログラム名
tcp 0 0 0.0.0.0:22 0.0.0.0:* リッスン 349/sshd
tcp 0 0 0.0.0.0:888 0.0.0.0:* 354/3プロキシをリッスン
tcp6 0 0 :::22 :::* リッスン 349/sshd
udp 0 0 0.0.0.0:53 0.0.0.0:* 354/3プロキシ
udp 0 0 0.0.0.0:68 0.0.0.0:* 367/dhclient

7. これで、プロキシはポート 888 で TCP 接続、ポート 53 で DNS を受け入れる準備が整い、リモートの Socks5 プロキシと DNS Google 8.8.8.8 にリダイレクトできるようになります。 必要なのは、アドレスを発行するための netfilter (iptables) と DHCP ルールを構成することだけです。

8. iptables-persistent および dhcpd パッケージをインストールします

root@debian9:~# apt-get install iptables-persistent isc-dhcp-server

9. dhcpd 起動ファイルを編集します。
root@debian9:~# nano /etc/dhcp/dhcpd.conf

dhcpd.conf＃dhcpd.conf
#
# ISC dhcpd のサンプル設定ファイル
#

# サポートされているすべてのネットワークに共通のオプション定義…
オプション ドメイン名 "example.org";
オプションdomain-name-serversns1.example.org、ns2.example.org;

デフォルト-リース時間600;
最大リース時間7200;

ddns-update-style なし。

＃このDHCPサーバーがローカルの公式DHCPサーバーである場合
# network では、権限のあるディレクティブのコメントを解除する必要があります。

権威ある;

# 内部サブネットの構成は若干異なります。
サブネット192.168.201.0ネットマスク255.255.255.0 {
範囲192.168.201.10;
オプションdomain-name-servers192.168.201.254;
オプションルーター192.168.201.254;
オプションbroadcast-address192.168.201.255;
デフォルト-リース時間600;
最大リース時間7200;
}

11. 再起動してポート 67 のサービスを確認します。
root@debian9:~# reboot
root@debian9:~# netstat -nlp

ネット統計ログアクティブなインターネット接続 (サーバーのみ)
Proto Recv-Q Send-Q ローカル アドレス 外部アドレス 状態 PID/プログラム名
tcp 0 0 0.0.0.0:22 0.0.0.0:* リッスン 389/sshd
tcp 0 0 0.0.0.0:888 0.0.0.0:* 310/3プロキシをリッスン
tcp6 0 0 :::22 :::* リッスン 389/sshd
udp 0 0 0.0.0.0:20364 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:53 0.0.0.0:* 310/3プロキシ
udp 0 0 0.0.0.0:67 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:68 0.0.0.0:* 405/dhclient
udp6 0 0 :::31728 :::* 393/dhcpd
生 0 0 0.0.0.0:1 0.0.0.0:* 393/dhcpd

12. 残っているのは、すべての TCP リクエストをポート 888 にリダイレクトし、ルールを iptables に保存することだけです。

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -p tcp -j REDIRECT --to-ports 888

root@debian9:~# iptables-save > /etc/iptables/rules.v4

13. チャネル帯域幅を拡張するために、複数のプロキシ サーバーを同時に使用できます。 合計は 1000 である必要があります。指定されたプロキシ サーバーへの新しい接続は、0.2、0.2、0.2、0.2、0,1、0,1 の確率で確立されます。

注: Web プロキシがある場合は、socks5 の代わりに connect、socks4 の場合は sock4 と記述する必要があります (socks4 はログイン/パスワード認証をサポートしていません!)

透過プロキシサーバNo.2の構成例デーモン
pidfile /home/joke/proxy/3proxy.pid
nサーバー8.8.8.8
nscache 65536
マックスコン 500
タイムアウト 1 5 30 60 180 1800 16 60
ログ/home/joke/proxy/logs/3proxy.log D
ログ形式 "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
回転3
フラッシュ
独占的に認証する
dnspr
許可する *

親 200 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#1 3128 テスター 1234
親 200 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#2 3128 テスター 1234
親 200 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#3 3128 テスター 1234
親 200 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#4 3128 テスター 1234
親 100 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#5 3128 テスター 1234
親 100 靴下 5 IP_ADDRESS_EXTERNAL_PROXY#6 3128 テスター 1234

プラグイン /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.soparent_plugin
tcppm -i0.0.0.0 888 127.0.0.1 11111

NAT + 透過的プロキシ構成のセットアップと実行

この構成では、個々のアドレスまたはサブネットの選択的または完全な透過的プロキシを備えた通常の NAT メカニズムを使用します。 内部ネットワーク ユーザーは、プロキシを介して作業していることに気付かずに、特定のサービス/サブネットを使用します。 すべての https 接続は正常に機能し、証明書を生成/置換する必要はありません。

まず、プロキシするサブネット/サービスを決定しましょう。 pandora.com のようなサービスが動作する場所に外部プロキシが配置されていると仮定します。 ここで、サブネット/アドレスを決定する必要があります。

1.ピング

root@debian9:~# ping pandora.com
PING pandora.com (208.85.40.20) 56(84) バイトのデータ。

2. Google に「BGP 208.85.40.20」と入力します。

現場に行ってみましょう bgp.he.net/net/208.85.40.0/24#_netinfo
探しているサブネットは AS40428 Pandora Media, Inc であることがわかります。

bgp.he.net/net/208.85.40.0/24#_netinfo

v4 プレフィックスを開く

bgp.he.net/AS40428#_prefixes

必要なサブネットは次のとおりです。

199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
199.116.164.0/24
199.116.165.0/24
208.85.40.0/24
208.85.41.0/24
208.85.42.0/23
208.85.42.0/24
208.85.43.0/24
208.85.44.0/24
208.85.46.0/23
208.85.46.0/24
208.85.47.0/24

3. サブネットの数を減らすには、集約を実行する必要があります。 サイトに行く ip-calculator.ru/aggregate そこにリストをコピーします。 その結果、サブネットは 6 ではなく 14 になりました。

199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
208.85.40.0/22
208.85.44.0/24
208.85.46.0/23

4. iptables ルールをクリアする

root@debian9:~# iptables -F
root@debian9:~# iptables -X
root@debian9:~# iptables -t nat -F
root@debian9:~# iptables -t nat -X

転送および NAT メカニズムを有効にする

root@debian9:~# echo 1 > /proc/sys/net/ipv4/ip_forward
root@debian9:~# iptables -A FORWARD -i enp0s3 -o enp0s8 -j ACCEPT
root@debian9:~# iptables -A FORWARD -i enp0s8 -o enp0s3 -j ACCEPT
root@debian9:~# iptables -t nat -A POSTROUTING -o enp0s3 -s 192.168.201.0/24 -j MASQUERADE

再起動後に転送が永続的に有効になるようにするには、ファイルを変更しましょう

root@debian9:~# nano /etc/sysctl.conf

そして行のコメントを外します

net.ipv4.ip_forward = 1

Ctrl+X でファイルを保存します

5. pandora.com サブネットをプロキシでラップします

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888

6. ルールを守りましょう

root@debian9:~# iptables-save > /etc/iptables/rules.v4

ルーター構成による透過プロキシのセットアップと実行

この構成では、透過プロキシ サーバーは、家庭/企業ルーターの背後にある別個の PC または仮想マシンにすることができます。 ルーターまたはデバイスに静的ルートを登録するだけで十分です。追加の設定は必要なく、サブネット全体でプロキシが使用されます。

重要！ ゲートウェイがルーターから静的 IP を受信するか、ゲートウェイ自体が静的になるように構成されている必要があります。

1. 静的ゲートウェイアドレス (enp0s3 アダプター) を構成します。

root@debian9:~# nano /etc/network/interfaces

/etc/network/interfaces ファイル＃このファイルには、システム上で利用可能なネットワークインターフェイスを説明します
＃そしてどのようにそれらをアクティブにする。 詳細については、（5）インターフェイスを参照してください。

ソース /etc/network/interfaces.d/*

＃ループバックネットワークインターフェース
オートそれ
ifaceをLOのinetループバック

# プライマリ ネットワーク インターフェイス
許可ホットプラグ enp0s3
iface enp0s3 inet 静的
アドレス192.168.23.2
ネット255.255.255.0
192.168.23.254ゲートウェイ

# セカンダリネットワークインターフェース
許可ホットプラグ enp0s8
iface enp0s8 inet 静的
アドレス192.168.201.254
ネット255.255.255.0

2. 192.168.23.0/24 サブネットのデバイスにプロキシの使用を許可します。

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.23.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888

3. ルールを守りましょう
root@debian9:~# iptables-save > /etc/iptables/rules.v4

4.ルーターにサブネットを登録しましょう

ルーターネットワークリスト199.116.161.0 255.255.255.0 192.168.23.2
199.116.162.0 255.255.255.0 192.168.23.2
199.116.164.0 255.255.254.0 192.168.23.2
208.85.40.0 255.255.252.0 192.168.23.2
208.85.44.0 255.255.255.0 192.168.23.2
208.85.46.0 255.255.254.0 192.168.23.2

使用される材料/資源

1. 3proxy プログラムの公式 Web サイト 3proxy.ru

2. ソースから 3proxy をインストールする手順 www.ekzorchik.ru/2015/02/how-to-take-your-socks-proxy

3. GitHub 上の 3proxy 開発ブランチ github.com/z3APA3A/3proxy/issues/274

出所： habr.com