🥇Základy transparentného proxy servera pomocou 3proxy a iptables/netfilter alebo ako „všetko dať cez proxy“

V tomto článku by som chcel odhaliť možnosti transparentného proxy servera, ktorý vám umožní presmerovať celú alebo časť prevádzky cez externé proxy servery absolútne bez povšimnutia klientov.

Keď som tento problém začal riešiť, stretol som sa s tým, že jeho implementácia mala jeden podstatný problém – protokol HTTPS. V starých dobrých časoch neboli žiadne zvláštne problémy s transparentným HTTP proxy, ale pri HTTPS proxy hlásia prehliadače interferenciu s protokolom a tam sa šťastie končí.

V bežných pokynoch pre proxy server Squid dokonca navrhujú vygenerovať si vlastný certifikát a nainštalovať ho na klientov, čo je prinajmenšom úplný nezmysel, iracionálne a vyzerá to ako MITM útok. Viem, že niečo podobné už Squid dokáže, ale tento článok je o overenej a fungujúcej metóde pomocou 3proxy od rešpektovaného 3APA3A.

Ďalej sa podrobne pozrieme na proces budovania 3proxy zo zdroja, jeho konfiguráciu, plné a selektívne proxy pomocou NAT, distribúciu kanálov na niekoľko externých proxy serverov, ako aj použitie smerovača a statických trás. Ako OS používame Debian 9 x64. Začať!

Inštalácia 3proxy a spustenie bežného proxy servera

1. Nainštalujte ifconfig (z balíka net-tools)
apt-get install net-tools
2. Nainštalujte Midnight Commander
apt-get install mc
3. Teraz máme 2 rozhrania:
enp0s3 - externý, pozerá sa na internet
enp0s8 - interný, musí sa pozrieť do lokálnej siete
Na iných distribúciách založených na Debiane sa rozhrania zvyčajne nazývajú eth0 a eth1.
ifconfig -a

rozhranieenp0s3: príznaky=4163 mtu 1500
inet 192.168.23.11 maska siete 255.255.255.0 vysielanie 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64 scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (Ethernet)
RX pakety 6412 bajtov 8676619 (8.2 MiB)
Chyby RX 0 zahodené 0 prekročenia 0 snímka 0
TX pakety 1726 bajtov 289128 (282.3 kB)
Chyby TX 0 vynechané 0 prekročenia 0 nosná 0 kolízie 0

enp0s8: príznaky=4098 mtu 1500
ether 08:00:27:79:a7:e3 txqueuelen 1000 (Ethernet)
RX pakety 0 bajtov 0 (0.0 B)
Chyby RX 0 zahodené 0 prekročenia 0 snímka 0
TX pakety 0 bajtov 0 (0.0 B)
Chyby TX 0 vynechané 0 prekročenia 0 nosná 0 kolízie 0

lo: príznaky=73 mtu 65536
inet 127.0.0.1 maska siete 255.0.0.0
inet6 ::1 prefixlen 128 scopeid 0x10 loop txqueuelen 1 (Local Loopback)
RX pakety 0 bajtov 0 (0.0 B)
Chyby RX 0 zahodené 0 prekročenia 0 snímka 0
TX pakety 0 bajtov 0 (0.0 B)
Chyby TX 0 vynechané 0 prekročenia 0 nosná 0 kolízie 0

Rozhranie enp0s8 sa momentálne nepoužíva, povolíme ho, keď budeme chcieť použiť Proxy NAT alebo konfiguráciu NAT. Vtedy by bolo logické priradiť mu statickú IP.

4. Začnime inštalovať 3proxy

4.1 Inštalácia základných balíkov na kompiláciu 3proxy zo zdrojov

root@debian9:~# apt-get install build-essential libevent-dev libssl-dev -y

4.2. Vytvorme priečinok na stiahnutie archívu so zdrojmi

root@debian9:~# mkdir -p /opt/proxy

4.3. Poďme do tohto priečinka

root@debian9:~# cd /opt/proxy

4.4. Teraz si stiahneme najnovší balík 3proxy. V čase písania tohto článku bola najnovšia stabilná verzia 0.8.12 (18) Stiahnite si ju z oficiálnej stránky 04proxy

root@debian9:/opt/proxy# wget https://github.com/z3APA3A/3proxy/archive/0.8.12.tar.gz

4.5. Rozbaľme stiahnutý archív

root@debian9:/opt/proxy# tar zxvf 0.8.12.tar.gz

4.6. Prejdite do rozbaleného adresára a zostavte program

root@debian9:/opt/proxy# cd 3proxy-0.8.12

4.7. Ďalej musíme do hlavičkového súboru pridať riadok, aby bol náš server úplne anonymný (naozaj to funguje, všetko je skontrolované, IP adresy klientov sú skryté)

root@debian9:/opt/proxy/3proxy-0.8.12# nano +29 src/proxy.h

Pridajte riadok

#define ANONYMOUS 1
Zmeny uložíte stlačením klávesov Ctrl+x a Enter.

4.8. Začnime zostavovať program

root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux

Makelogmake[2]: Opustenie adresára '/opt/proxy/3proxy-0.8.12/src/plugins/TransparentPlugin'
make[1]: Opustenie adresára '/opt/proxy/3proxy-0.8.12/src'

Žiadne chyby, pokračujeme.

4.9. Nainštalujte program do systému

root@debian9:/opt/proxy/3proxy-0.8.12# make -f Makefile.Linux install

4.10. Prejdite do koreňového adresára a skontrolujte, kde bol program nainštalovaný

root@debian9:/opt/proxy/3proxy-0.8.12# cd ~/ root@debian9:~# whereis 3proxy
3proxy: /usr/local/bin/3proxy /usr/local/etc/3proxy

4.11. V domovskom adresári používateľa vytvoríme priečinok pre konfiguračné súbory a protokoly

root@debian9:~# mkdir -p /home/joke/proxy/logs

4.12. Prejdite do adresára, kde by mala byť konfigurácia

root@debian9:~# cd /home/joke/proxy/

4.13. Vytvorte prázdny súbor a skopírujte tam konfiguráciu

root@debian9:/home/joke/proxy# cat > 3proxy.conf

3proxy.confdémon
pidfile /home/joke/proxy/3proxy.pid
nserver 8.8.8.8
nscache 65536
používateľský tester:CL:1234
časové limity 1 5 30 60 180 1800 16 60
log /home/joke/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
otočiť 3
auth silný
prúd
povoliť tester
ponožky -p3128
proxy -p8080

Ak chcete uložiť, stlačte Ctrl + Z

4.14. Vytvorme súbor pid, aby sa pri štarte nevyskytli žiadne chyby.

root@debian9:/home/joke/proxy# cat > 3proxy.pid

Ak chcete uložiť, stlačte Ctrl + Z

4.15. Spustite proxy server!

root@debian9:/home/joke/proxy# 3proxy /home/joke/proxy/3proxy.conf

4.16. Pozrime sa, či server počúva na portoch

root@debian9:~/home/joke/proxy# netstat -nlp

denník netstatAktívne internetové pripojenia (iba servery)
Proto Recv-Q Send-Q Miestna adresa Cudzia adresa Štát PID/názov programu
tcp 0 0 0.0.0.0:8080 0.0.0.0:* LISTEN 504/3proxy
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 338/sshd
tcp 0 0 0.0.0.0:3128 0.0.0.0:* LISTEN 504/3proxy
tcp6 0 0 :::22 :::* POČÚVAŤ 338/sshd
udp 0 0 0.0.0.0:68 0.0.0.0:* 352/dhklient

Ako bolo napísané v konfigurácii, náš webový proxy počúva port 8080, proxy Socks5 počúva port 3128.

4.17. Ak chcete po reštarte automaticky spustiť službu proxy, musíte ju pridať do cronu.

root@debian9:/home/joke/proxy# crontab -e

Pridajte riadok

@reboot /usr/local/bin/3proxy /home/joke/proxy/3proxy.conf

Stlačíme Enter, keďže cron by mal vidieť znak konca riadku, a súbor uložíme.

Mala by sa zobraziť správa o inštalácii nového crontab.

crontab: inštalácia nového crontabu

4.18. Reštartujeme systém a pokúsime sa pripojiť cez prehliadač k proxy. Na kontrolu používame prehliadač Firefox (pre web proxy) a doplnok FoxyProxy pre ponožky5 s autentifikáciou.

root@debian9:/home/joke/proxy# reboot

4.19. Po skontrolovaní činnosti servera proxy po reštarte môžete zobraziť protokoly. Tým sa dokončí nastavenie proxy servera.

3 protokol proxy1542573996.018 PROXY.8080 00000 tester 192.168.23.10:50915 217.12.15.54:443 1193 6939 0 CONNECT_ads.yahoo.com/HTTP:443.
1542574289.634 SOCK5.3128 00000 tester 192.168.23.10:51193 54.192.13.69:443 0 0 0 CONNECT_normandy.cdn.mozilla.net:443

Nastavenie a spustenie konfigurácie Transparent Proxy NAT

V tejto konfigurácii budú všetky zariadenia vo vnútornej sieti transparentne fungovať na internete cez vzdialený proxy server. Absolútne všetky TCP spojenia budú presmerované na jeden alebo viacero (skutočne rozširuje šírku kanála, príklad konfigurácie č. 2!) proxy serverov. Služba DNS bude využívať funkcie 3proxy (dnspr). UDP „nepôjde“ smerom von, pretože ešte nepoužívame dopredný mechanizmus (v jadre Linuxu je štandardne zakázaný).

1. Je čas povoliť rozhranie enp0s8

root@debian9:~# nano /etc/network/interfaces

súbor /etc/network/interfaces# Tento súbor popisuje sieťové rozhrania sú k dispozícii na vašom systéme
# Activated a ako na ne. Pre viac informácií viď rozhranie (5).

zdroj /etc/network/interfaces.d/*

# Sieťové rozhranie loopback
auto lo
IFAC lo inet loopback

# Primárne sieťové rozhranie
allow-hotplug enp0s3
iface enp0s3 inet dhcp

# Sekundárne sieťové rozhranie
allow-hotplug enp0s8
iface enp0s8 inet statický
adresu 192.168.201.254
Netmask 255.255.255.0

Tu sme rozhraniu enp0s8 priradili statickú adresu 192.168.201.254 a masku 255.255.255.0
Uložte konfiguráciu Ctrl+X a reštartujte

root@debian9:~# reboot

2. Kontrola rozhraní

root@debian9:~# ifconfig

protokol ifconfigenp0s3: príznaky=4163 mtu 1500
inet 192.168.23.11 maska siete 255.255.255.0 vysielanie 192.168.23.255
inet6 fe80::a00:27ff:fec2:bae4 prefixlen 64 scopeid 0x20 ether 08:00:27:c2:ba:e4 txqueuelen 1000 (Ethernet)
RX pakety 61 bajtov 7873 (7.6 kB)
Chyby RX 0 zahodené 0 prekročenia 0 snímka 0
TX pakety 65 bajtov 10917 (10.6 kB)
Chyby TX 0 vynechané 0 prekročenia 0 nosná 0 kolízie 0

enp0s8: príznaky=4163 mtu 1500
inet 192.168.201.254 maska siete 255.255.255.0 vysielanie 192.168.201.255
inet6 fe80::a00:27ff:fe79:a7e3 prefixlen 64 scopeid 0x20 ether 08:00:27:79:a7:e3 txqueuelen 1000 (Ethernet)
RX pakety 0 bajtov 0 (0.0 B)
Chyby RX 0 zahodené 0 prekročenia 0 snímka 0
TX pakety 8 bajtov 648 (648.0 B)
Chyby TX 0 vynechané 0 prekročenia 0 nosná 0 kolízie 0

3. Všetko fungovalo, teraz musíte nakonfigurovať 3proxy na transparentné proxy.

root@debian9:~# cd /home/joke/proxy/ root@debian9:/home/joke/proxy# cat > 3proxytransp.conf

Príklad konfigurácie transparentného proxy servera čdémon
pidfile /home/joke/proxy/3proxy.pid
nserver 8.8.8.8
nscache 65536
časové limity 1 5 30 60 180 1800 16 60
log /home/joke/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
otočiť 3
prúd
auth iponly
dnspr
povoliť *
rodič 1000 ponožiek5 IP_ADDRESS OF EXTERNAL_PROXY 3128 tester 1234
plugin /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.so transparent_plugin
tcppm -i0.0.0.0 888 127.0.0.1 11111

4. Teraz spustíme 3proxy s novou konfiguráciou
root@debian9:/home/joke/proxy# /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf

5. Znova pridajte do crontab
root@debian9:/home/joke/proxy# crontab -e @reboot /usr/local/bin/3proxy /home/joke/proxy/3proxytransp.conf

6. Pozrime sa, čo teraz počúva náš proxy
root@debian9:~# netstat -nlp

7. Teraz je proxy pripravený akceptovať akékoľvek TCP spojenia na porte 888, DNS na porte 53, aby mohli byť presmerované na vzdialený proxy socks5 a DNS Google 8.8.8.8. Všetko, čo musíme urobiť, je nakonfigurovať netfilter (iptables) a pravidlá DHCP na vydávanie adries.

8. Nainštalujte balík iptables-persistent a dhcpd

root@debian9:~# apt-get install iptables-persistent isc-dhcp-server

9. Upravte spúšťací súbor dhcpd
root@debian9:~# nano /etc/dhcp/dhcpd.conf

dhcpd.conf# dhcpd.conf
#
# Vzorový konfiguračný súbor pre ISC dhcpd
#

# definícií možností spoločných pre všetky podporované siete…
možnosť názov-domény "example.org";
možnosť servery doménových mien ns1.example.org, ns2.example.org;

predvolený čas prenájmu 600;
maximálna doba prenájmu 7200;

ddns-update-style žiadny;

# Ak je tento server DHCP oficiálnym serverom DHCP pre lokálny server
# network, autoritatívna smernica by mala byť bez komentára.

smerodajný;

# Trochu iná konfigurácia pre internú podsieť.
podsiete 192.168.201.0 maska siete 255.255.255.0 {
rozsah 192.168.201.10 192.168.201.250;
možnosť servery doménových mien 192.168.201.254;
voliteľné smerovače 192.168.201.254;
možnosť vysielacia adresa 192.168.201.255;
predvolený čas prenájmu 600;
maximálna doba prenájmu 7200;
}

11. Reštartujte a skontrolujte službu na porte 67
root@debian9:~# reboot root@debian9:~# netstat -nlp

denník netstatAktívne internetové pripojenia (iba servery)
Proto Recv-Q Send-Q Miestna adresa Cudzia adresa Štát PID/názov programu
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 389/sshd
tcp 0 0 0.0.0.0:888 0.0.0.0:* LISTEN 310/3proxy
tcp6 0 0 :::22 :::* POČÚVAŤ 389/sshd
udp 0 0 0.0.0.0:20364 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:53 0.0.0.0:* 310/3proxy
udp 0 0 0.0.0.0:67 0.0.0.0:* 393/dhcpd
udp 0 0 0.0.0.0:68 0.0.0.0:* 405/dhklient
udp6 0 0 :::31728 :::* 393/dhcpd
nespracovaný 0 0 0.0.0.0:1 0.0.0.0:* 393/dhcpd

12. Zostáva len presmerovať všetky tcp požiadavky na port 888 a pravidlo uložiť do iptables

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -p tcp -j REDIRECT --to-ports 888

root@debian9:~# iptables-save > /etc/iptables/rules.v4

13. Na rozšírenie šírky pásma kanála môžete použiť niekoľko proxy serverov naraz. Celkový počet musí byť 1000 0.2. Nové spojenia sa vytvárajú s pravdepodobnosťou 0.2, 0.2, 0.2, 0,1, 0,1, XNUMX k zadaným proxy serverom.

Poznámka: ak máme web proxy, tak namiesto socks5 musíme napísať connect, ak socks4, tak socks4 (socks4 NEPODPORUJE AUTORIZÁCIU PRIHLÁSENIA/HESLA!)

Príklad konfigurácie transparentného proxy servera čdémon
pidfile /home/joke/proxy/3proxy.pid
nserver 8.8.8.8
nscache 65536
maxconn 500
časové limity 1 5 30 60 180 1800 16 60
log /home/joke/proxy/logs/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
otočiť 3
prúd
auth iponly
dnspr
povoliť *

rodič 200 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#1 3128 tester 1234
rodič 200 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#2 3128 tester 1234
rodič 200 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#3 3128 tester 1234
rodič 200 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#4 3128 tester 1234
rodič 100 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#5 3128 tester 1234
rodič 100 ponožiek5 IP_ADDRESS_EXTERNAL_PROXY#6 3128 tester 1234

plugin /opt/proxy/3proxy-0.8.12/src/TransparentPlugin.ld.so transparent_plugin
tcppm -i0.0.0.0 888 127.0.0.1 11111

Nastavenie a spustenie konfigurácie NAT + Transparent Proxy

V tejto konfigurácii použijeme obvyklý mechanizmus NAT so selektívnym alebo plne transparentným proxy serverom jednotlivých adries alebo podsietí. Používatelia internej siete budú pracovať s určitými službami/podsieťami bez toho, aby si uvedomili, že pracujú cez proxy. Všetky https pripojenia fungujú dobre, nie je potrebné generovať/nahrádzať žiadne certifikáty.

Najprv sa rozhodnime, ktoré podsiete/služby chceme proxy. Predpokladajme, že externé proxy sa nachádzajú tam, kde funguje služba ako pandora.com. Teraz zostáva určiť jeho podsiete/adresy.

1. Ping

root@debian9:~# ping pandora.com
PING pandora.com (208.85.40.20) 56(84) bajtov dát.

2. Do Google zadajte BGP 208.85.40.20

Poďme na stránku bgp.he.net/net/208.85.40.0/24#_netinfo
Je vidieť, že podsieť, ktorú hľadám, je AS40428 Pandora Media, Inc

bgp.he.net/net/208.85.40.0/24#_netinfo

Otváranie predpony v4

bgp.he.net/AS40428#_prefixes

Tu sú požadované podsiete!

199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
199.116.164.0/24
199.116.165.0/24
208.85.40.0/24
208.85.41.0/24
208.85.42.0/23
208.85.42.0/24
208.85.43.0/24
208.85.44.0/24
208.85.46.0/23
208.85.46.0/24
208.85.47.0/24

3. Ak chcete znížiť počet podsietí, musíte vykonať agregáciu. Prejdite na stránku ip-calculator.ru/aggregate a skopírujte tam náš zoznam. Výsledkom je 6 podsietí namiesto 14.

199.116.161.0/24
199.116.162.0/24
199.116.164.0/23
208.85.40.0/22
208.85.44.0/24
208.85.46.0/23

4. Jasné pravidlá iptables

root@debian9:~# iptables -F root@debian9:~# iptables -X root@debian9:~# iptables -t nat -F root@debian9:~# iptables -t nat -X

Povoliť mechanizmus forward a NAT

root@debian9:~# echo 1 > /proc/sys/net/ipv4/ip_forward root@debian9:~# iptables -A FORWARD -i enp0s3 -o enp0s8 -j ACCEPT root@debian9:~# iptables -A FORWARD -i enp0s8 -o enp0s3 -j ACCEPT root@debian9:~# iptables -t nat -A POSTROUTING -o enp0s3 -s 192.168.201.0/24 -j MASQUERADE

Aby sme sa uistili, že presmerovanie je po reštarte povolené natrvalo, zmeňme súbor

root@debian9:~# nano /etc/sysctl.conf

A odkomentujte riadok

net.ipv4.ip_forward = 1

Ctrl+X na uloženie súboru

5. Podsiete pandora.com zabalíme do proxy

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.201.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888

6. Dodržujme pravidlá

root@debian9:~# iptables-save > /etc/iptables/rules.v4

Nastavenie a spustenie transparentného proxy cez konfiguráciu smerovača

V tejto konfigurácii môže byť transparentný proxy server samostatný počítač alebo virtuálny stroj za domácim/podnikovým smerovačom. Stačí zaregistrovať statické trasy na routeri alebo zariadeniach a celá podsieť bude využívať proxy bez potreby akýchkoľvek ďalších nastavení.

DÔLEŽITÉ! Je potrebné, aby naša brána prijímala statickú IP od smerovača, alebo aby bola sama nakonfigurovaná ako statická.

1. Nakonfigurujte statickú adresu brány (adaptér enp0s3)

root@debian9:~# nano /etc/network/interfaces

súbor /etc/network/interfaces# Tento súbor popisuje sieťové rozhrania sú k dispozícii na vašom systéme
# Activated a ako na ne. Pre viac informácií viď rozhranie (5).

zdroj /etc/network/interfaces.d/*

# Sieťové rozhranie loopback
auto lo
IFAC lo inet loopback

# Primárne sieťové rozhranie
allow-hotplug enp0s3
iface enp0s3 inet statický
adresu 192.168.23.2
Netmask 255.255.255.0
brána 192.168.23.254

# Sekundárne sieťové rozhranie
allow-hotplug enp0s8
iface enp0s8 inet statický
adresu 192.168.201.254
Netmask 255.255.255.0

2. Povoliť zariadeniam z podsiete 192.168.23.0/24 používať proxy

root@debian9:~# iptables -t nat -A PREROUTING -s 192.168.23.0/24 -d 199.116.161.0/24,199.116.162.0/24,199.116.164.0/23,208.85.40.0/22,208.85.44.0/24,208.85.46.0/23 -p tcp -j REDIRECT --to-ports 888

3. Dodržujme pravidlá
root@debian9:~# iptables-save > /etc/iptables/rules.v4

4. Zaregistrujme podsiete na routeri

Zoznam sietí smerovača199.116.161.0 255.255.255.0 192.168.23.2
199.116.162.0 255.255.255.0 192.168.23.2
199.116.164.0 255.255.254.0 192.168.23.2
208.85.40.0 255.255.252.0 192.168.23.2
208.85.44.0 255.255.255.0 192.168.23.2
208.85.46.0 255.255.254.0 192.168.23.2

Použité materiály/zdroje

1. Oficiálna stránka programu 3proxy 3proxy.ru

2. Pokyny na inštaláciu 3proxy zo zdroja www.ekzorchik.ru/2015/02/how-to-take-your-socks-proxy

3. Vývojová vetva 3proxy na GitHub github.com/z3APA3A/3proxy/issues/274

Zdroj: hab.com

Základy transparentného proxy servera pomocou 3proxy a iptables/netfilter alebo ako „preniesť všetko cez proxy“

Inštalácia 3proxy a spustenie bežného proxy servera

Nastavenie a spustenie konfigurácie Transparent Proxy NAT

Nastavenie a spustenie konfigurácie NAT + Transparent Proxy

Nastavenie a spustenie transparentného proxy cez konfiguráciu smerovača

Použité materiály/zdroje

Pridať komentár Zrušiť odpoveď na komentár