Dante SOCKS op loopback foar in HTTPS-tsjinst allinnich fia WireGuard

Byn in tawijde SOCKS-harker oan loopback en stean ien TCP-bestimming ta. Hâld de útgongboarne fan Dante, de kernelrûte, DNS en it tunnelferliesbelied apart.

Dizze hânlieding jout in proxy-bewuste tapassing tagong ta in besteand WireGuard-paad sûnder in proxy-poarte op 'e VPN-tsjinner of op it ynternet te publisearjen. De SOCKS-daemon leveret de tapassingsynterface, WireGuard leveret it al goedkarde IP-paad, en gjin fan beide autentisearret de brûker foar jo. Eltse stap hjirûnder produsearret wat jo ynspektearje kinne, en elk hat in weromdraai: stop de ynstânsje, ferwiderje de regel, of smyt de proxy-ynstelling fan 'e tapassing út. Neat hjir feroaret de standertrûte fan 'e host.

It foarbyld giet derfan út dat Dante 1.4.x as in tawijde, behearde ynstânsje op in fertroude Linux-wurkstasjon ynstallearre is, mei it tsjinstaccount en de logkonfiguraasje fan it pakket op syn plak litten. De wurkstasjon besit 10.77.0.2 op syn WireGuard-ynterface, berikt 10.60.0.20:443 troch dy tunnel, en de eigen namme fan 'e tsjinst is app.corp.example.

Stap 1: byn de harker allinnich oan loopback

Set de seksjes foar netwurk, metoade en regels yn 'e aktive konfiguraasje fan 'e ynstânsje en ferfang de foarbyldadressen. Alle tsjinnerynstellingen komme foar de regelblokken:

internal: 127.0.0.1 port = 1080
external: 10.77.0.2
external.protocol: ipv4
clientmethod: none
socksmethod: none

client pass {
    from: 127.0.0.1/32 to: 127.0.0.1/32
}

socks pass {
    from: 127.0.0.1/32 to: 10.60.0.20/32 port = 443
    command: connect
    protocol: tcp
}

Dit is in fragmint, gjin ferfanging foar de brûker- en logynstellingen fan it pakket. Kies in ûnbrûkte lokale poarte en befêstigje dat dizze tawijde ynstânsje gjin oare harkers, gjin bredere trochlitregels en gjin opstream-ketlingfermeldingen hat dy 't it kontrakt feroarje soene. As in eardere konfiguraasje in socks pass sûnder bestimmingsbeheining efterlitten hat, ferwiderje dy dan foar't jo wat testje.

De weromdraai foar dizze stap is it stopjen fan 'e ynstânsje; it konfiguraasjebestân kin op 'e skiif bliuwe wylst jo it weromdraaie.

Stap 2: skriuw twa regels, net ien

Dante syn konfiguraasjereferinsje jout de twa regeltypen ferskate taken. De kliïntregel lit in ferbining ta nei de loopback-harker, en syn bestimming is it adres fan 'e harker sels. De SOCKS-regel lit de frege fierdere ferbining ta nei de goedkarde host en poarte. Net oerienkommende oanfragen wurde standert blokkearre, en dêrom liket in ûntbrekkende regel itselde as in stikken rûte.

Merk op wat dizze konfiguraasje bewust net docht: se freget gjin SOCKS-wachtwurd. Dat past by in fertroude lokale host, en it is gjin brûkersautentikaasje. Elk oar proses op dy masine kin loopback ek brûke. Hâld de eigen autentikaasje fan 'e externe tapassing yn stân, en brûk dizze net-autentisearre foarm net opnij foar net-fertroude lokale brûkers of in harker dy't nei it LAN liket.

Stap 3: ferifiearje de rûte fan 'e juste boarne

external kiest in útgeande boarneadres; it ynstallearret gjin WireGuard-rûte. Allinnich-lêze-sykjen foar de foarbyldboarne en -bestimming:

ip -4 route get 10.60.0.20 from 10.77.0.2

Run dat yn Dante syn werklike netwurk-namromte, net yn in shell dy 't jo tafallich iepen hawwe. De rûte, de kar fan WireGuard-peer, de tastimming oan 'e fiere kant en it werompaad moatte allegear by dat boarneadres passe. In suksesfolle sykjen is nedich en net genôch, want it seit neat oer oft it fiere ein de oanfraach akseptearret.

Wjerstean de ferlieding om in standertrûte ta te foegjen sadat it sykjen slagget. De proxy-poarte bestiet allinnich op dit wurkstasjon; it feroarjen fan 'e standertrûte fan 'e host om dizze te meitsjen keart it hiele ûntwerp om.

Stap 4: test mei de bedoelde identiteit

Nei't de eigner de ynstalleare konfiguraasje falidearre hat en de ynstânsje fia syn tsjinstbehearder start hat, is in yllustrative oanfraach:

curl --proxy socks5h://127.0.0.1:1080 --noproxy '' https://app.corp.example/

Mei socks5h, docht Dante de bestimmingsresolúsje, mar Dante rint op dit wurkstasjon, dus stjoert de ynstelling DNS net út himsels nei it fiere ein fan 'e tunnel. De goedkarde resolver dy't Dante brûkt, moat it tastiene adres foar dy namme weromjaan. De lege list sûnder proxy keart in erfd útsûndering tsjin dy 't SOCKS stil omgiet.

Hâld HTTPS-hostnamme- en sertifikaatfalidaasje yn 'e test, ynspektearje dan de werklike harker en befêstigje beide helten fan it kontrakt: de tastiene oanfraach slagget en in útsletten bestimming mislearret. Ferifiearje ek dat net-stipe trochstjoeropdrachten wegere bliuwe, want dit fragmint lit it SOCKS CONNECT-opdracht oer TCP ta en neat dat op in algemiene UDP- of hielapparaattunnel liket.

Stap 5: beslút wat der bart as de tunnel falt

Test tunnelferlies en werstart fan 'e ynstânsje foar't jo dit produksje neame. In tafersjochhâlder dy't Dante nei WireGuard start, makket gjin fail-closed-routing en makket ek gjin fail-closed DNS; beide moatte fia de netwurkeigner hanthavene wurde. Sjoch wat de tapassing docht as de tunnel del is: in skjinne flater is in goed resultaat, in stil weromfallen nei in iepenbiere resolver is dat net.

Koördinearje updates as it bûne tunneladres feroaret, want external is dêrop fêstset. As de regeling net mear nedich is, lûk dan dizze ynstânsje en de proxy-ynstelling fan 'e tapassing tegearre werom, en lit it WireGuard-paad oan wa't it ek taheart.

Relatearre artikelen