主持人 > 博客 > 管理 > 以 IPIP 隧道为例的简单 UDP 打洞

以 IPIP 隧道为例的简单 UDP 打洞

良好的时间！

在这篇文章中我想告诉你我是如何实现的（另一）一个 Bash 脚本，用于使用 UDP 打洞技术连接位于 NAT 后面的两台计算机，以 Ubuntu/Debian 操作系统为例。

建立连接包括以下几个步骤：

  1. 启动一个节点并等待远程节点准备就绪；
  2. 确定外部IP地址和UDP端口；
  3. 将外部IP地址和UDP端口传输到远程主机；
  4. 从远程主机获取外部IP地址和UDP端口；
  5. IPIP 隧道的组织；
  6. 连接监控；
  7. 如果连接丢失，请删除 IPIP 隧道。

我思考了很长时间，仍然认为可以用来在节点之间交换数据，目前对我来说最简单、最快的是通过Yandex.disk。

  • 首先，它易于使用 - 您需要 3 个操作：创建、读取、删除。 对于卷曲，这是：
    创造：

    curl -s -X MKCOL --user "$usename:$password" https://webdav.yandex.ru/$folder

    读：

    curl -s --user "$usename:$password" -X PROPFIND -H "Depth: 1" https://webdav.yandex.ru/$folder

    删除：

    curl -s -X DELETE --user "$usename:$password" https://webdav.yandex.ru/$folder
  • 其次，安装方便： 
    apt install curl

要确定外部 IP 地址和 UDP 端口，请使用 stun-client 命令：

stun stun.sipnet.ru -v -p $1 2>&1 | grep "MappedAddress"

使用命令安装：

apt install stun-client

为了组织隧道，使用 iproute2 包中的标准操作系统工具。 存在 许多隧道 可以使用标准方法（L2TPv3、GRE 等）来提高，但我选择了 IPIP，因为它在系统上产生的额外负载最小。 我尝试了基于 UDP 的 L2TPv3，但很失望，速度下降了 10 倍，但这些可能是与提供商或其他相关的各种限制。 由于IPIP隧道运行在IP级别，因此FOU隧道运行在UDP端口级别。 要组织 IPIP 隧道，您需要：

— 加载 FOU 模块：

modprobe fou

— 监听本地端口：

ip fou add port $localport ipproto 4

— 创建隧道：

ip link add name fou$name type ipip remote $remoteip local $localip encap fou  encap-sport $localport encap-dport $remoteport

— 提升隧道接口：

ip link set up dev fou$name

— 分配隧道的内部本地和内部远程 IP 地址：

ip addr add $intIP peer $peerip dev fou$name

删除隧道：

ip link del dev fou$name

ip fou del port $localport

通过使用以下命令定期 ping 远程节点隧道的内部 IP 地址来监视隧道状态：

ping -c 1 $peerip -s 0

需要定期ping主要是为了维护通道，否则当隧道空闲时，路由器上的NAT表可能会被清除，从而导致连接断开。

如果 ping 消失，则 IPIP 隧道将被删除并等待远程主机准备就绪。

脚本本身：

#!/bin/bash
username="[email protected]"
password="password"
folder="vpnid"
intip="10.0.0.1"
localport=`shuf -i 10000-65000 -n 1`
cid=`shuf -i 10000-99999 -n 1`
tid=`shuf -i 10-99 -n 1`
function yaread {
        curl -s --user "$1:$2" -X PROPFIND -H "Depth: 1" https://webdav.yandex.ru/$3 | sed 's/></>n</g' | grep "displayname" | sed 's/<d:displayname>//g' | sed 's/</d:displayname>//g' | grep -v $3 | grep -v $4 | sort -r
}
function yacreate {
        curl -s -X MKCOL --user "$1:$2" https://webdav.yandex.ru/$3
}
function yadelete {
        curl -s -X DELETE --user "$1:$2" https://webdav.yandex.ru/$3
}
function myipport {
        stun stun.sipnet.ru -v -p $1 2>&1 | grep "MappedAddress" | sort | uniq | awk '{print $3}' | head -n1
}
function tunnel-up {
	modprobe fou
	ip fou add port $4 ipproto 4
	ip link add name fou$7 type ipip remote $1 local $3 encap fou encap-sport $4 encap-dport $2
	ip link set up dev fou$7
	ip addr add $6 peer $5 dev fou$7
}
function tunnel-check {
	sleep 10
        pings=0
        until [[ $pings == 4 ]]; do
                if ping -c 1 $1 -s 0 &>/dev/null;
                        then    echo -n .; n=0
                        else    echo -n !; ((pings++))
                fi
		sleep 15
        done
}
function tunnel-down {
	ip link del dev fou$1
	ip fou del port $2
}
trap 'echo -e "nDisconnecting..." && yadelete $username $password $folder; tunnel-down $tunnelid $localport; echo "IPIP tunnel disconnected!"; exit 1' 1 2 3 8 9 14 15
until [[ -n $end ]]; do
    yacreate $username $password $folder
    until [[ -n $ip ]]; do
        mydate=`date +%s`
        timeout="60"
        list=`yaread $username $password $folder $cid | head -n1`
        yacreate $username $password $folder/$mydate:$cid
        for l in $list; do
                if [ `echo $l | sed 's/:/ /g' | awk {'print $1'}` -ge $(($mydate-65)) ]; then
			#echo $list
                        myipport=`myipport $localport`
                        yacreate $username $password $folder/$mydate:$cid:$myipport:$intip:$tid
                        timeout=$(( $timeout + `echo $l | sed 's/:/ /g' | awk {'print $1'}` - $mydate + 3 ))
                        ip=`echo $l | sed 's/:/ /g' | awk '{print $3}'`
                        port=`echo $l | sed 's/:/ /g' | awk '{print $4}'`
                        peerip=`echo $l | sed 's/:/ /g' | awk '{print $5}'`
			peerid=`echo $l | sed 's/:/ /g' | awk '{print $6}'`
			if [[ -n $peerid ]]; then tunnelid=$(($peerid*$tid)); fi
                fi
        done
        if ( [[ -z "$ip" ]] && [ "$timeout" -gt 0 ] ) ; then
                echo -n "!"
                sleep $timeout
        fi
    done
    localip=`ip route get $ip | head -n1 | sed 's|.*src ||' | cut -d' ' -f1`
    tunnel-up $ip $port $localip $localport $peerip $intip $tunnelid
    tunnel-check $peerip
    tunnel-down $tunnelid $localport
    yadelete $username $password $folder
    unset ip port myipport
done
exit 0

变量 用户名, 密码 и 夹 两边应该是一样的，但是 提示 - 不同，例如：10.0.0.1 和 10.0.0.2。 节点上的时间必须同步。 您可以像这样运行脚本：

nohup script.sh &

我想提请您注意，从流量未加密的角度来看，IPIP 隧道是不安全的，但这可以使用 IPsec 轻松解决 本文，对我来说似乎简单易懂。

我已经使用这个脚本连接到工作电脑几个星期了，没有注意到任何问题。 方便设置和忘记它。

也许您会有意见和建议，我很乐意倾听。

谢谢你！

来源： habr.com

添加评论