SOCKS5-Proxy fir OpenVPN: TCP-Tunnel oder d'Appen iwwer de Proxy schécken?

E Proxy iwwerdréit e Stroum, keen Datagramm. Vergläicht en TCP-Tunnel hannert socks-proxy mat enger redsocks-Umleedung a kuckt, wou all Design als éischt brécht.

Netzwierker, déi nëmmen Ausgang iwwer e Proxy erlaben, sinn dee Punkt, wou e funktionéierende Profil plëtzlech stierft. D'Proxyadress ass déi mannst interessant Variabel an deem Feeler. Alles entscheet d'Form vum Trafik, deen de Proxy iwwerdroe wäert, well dës Proxye schécken e Bytestroum an en UDP-Tunnel ass dat net. Dat léisst zwou Architekturen iwwreg, a si briechen op verschiddene Plazen.

Eng Aschränkung entscheet d'Design

SOCKS5 spezifizéiert tatsächlech en UDP-Associatiounsmodus. D'Proxyënnerstëtzung vum OpenVPN-Client ass awer ëm Stroum opgebaut: socks-proxy ass fir TCP-Profile dokumentéiert, an en HTTP CONNECT-Proxy huet guer kee Wee fir Datagrammen. Eng Zeil Dokumentatioun entscheet d'Architektur, ier Dir eng Konfiguratiounsdatei beréiert.

D'Fro ass also net, wéi ee Proxy Dir wielt. Si ass, ob den Tunnel e Stroum gëtt, oder en Datagramm bleift an eppes aneres d'Proxying ophuele léisst.

Optioun A: maacht den Tunnel zu engem Stroum

Dat brauch en Server mat engem TCP-Lauschterer an e Clientprofil, deen de Proxy nennt. Béid Deeler sinn néideg, an d'Serversäit ass déi, déi d'Leit vergiessen:

proto tcp-client
remote vpn.example.net 443
socks-proxy 127.0.0.1 1080

Ersetzt déi lescht Zeil duerch http-proxy proxy.internal 8080, wann de Proxy HTTP schwätzt, a füügt eng Umeldungsdatei derbäi, wann en eng verlaangt. De Proxy muss bereet sinn, CONNECT op Äre VPN-Port auszeféieren, an de Server muss op TCP äntweren; en Nëmme-UDP-Lauschterer ignoréiert de Versuch. 443 ze wielen ass e praktesche Grëff, well vill aschränkend Netzwierker dat an näischt anescht erlaben.

De Präis ass TCP op TCP gestapelt. En eenzege verluerenen äussere Segment blockéiert all bannenzege Stroum, deen dës Verbindung deelt, sou datt Erhuelung, déi normalerweis onofhängeg wier, gedeelt gëtt. D'Opstellung dauert och méi laang, an en onbestännegen äussere Wee gëtt en onbestännegen Tunnel amplaz e luesen.

Optioun B: loosst den Tunnel a Rou

Wann den Tunnel op UDP musse bleiwen, ass den Tunnel net dee Punkt, wou Dir eppes konfiguréiert. Amplaz gëtt den Ausgangs-TCP vun den Appen op e lokale SOCKS-Lauschterer ëmgeleet, an d'Appen léieren ni, datt e Proxy existéiert. Op Linux ass dat meeschtens redsocks plus eng NAT REDIRECT-Reeg an der nat-Tabelle.

Erëm nëmmen TCP. En Nëmme-HTTP-Proxy wéi privoxy kann keng arbiträr Protokoller iwwerdroen, an dëst Design füügt och keng Datagrammënnerstëtzung fir d'Appen derbäi.

Jidder App direkt vum Proxy ze soen ass meeschtens besser do, wou d'Software et ënnerstëtzt. Et ass méi einfach ze auditieren, an et schléit op enger Plaz fehl, déi Dir wierklech gesitt.

Wou all Optioun feelt

Optioun A feelt, wann dem Server en TCP-Lauschterer feelt, wann de Proxy d'CONNECT-Zil refuséiert, oder wann den äussere Stroum ënner dat gedrosselt gëtt, wat den Tunnel brauch. Déi éischt zwee hannerloossen en Andrag am Proxy-Log; dat drëtt hannerléisst eng Verbindung, déi sech opbaut an dann falsch unfillt. Liest dee Log, ier Dir de Profil ännert, well en e Berechtegungsproblem vun engem Kapazitéitsproblem trennt. En ofgeschlossene CONNECT verréckelt d'Enquête an den Tunnel.

Optioun B feelt fir alles, wat Datagramme brauch, fir Protokoller, déi de Proxy net versteet, a stëllem op Hosts, wou d'Umleedungsreegel existéiert, awer d'Routing den Trafik laanscht schéckt.

Keng vun den Optiounen ännert d'Ufuerderung un d'Apparat. Paketë brauchen nach ëmmer en TUN- oder TAP-Knäppchen, ier de Kernel se routet, also brauch de Prozess nach ëmmer Berechtegung op /dev/net/tun. En Ablack änert, wat no der Ouverture vun deem Knäppchen geschitt, net ob Dir een braucht.

Beweist, wéi ee Wee Dir gebaut hutt

Kuckt op Sockets an net op de Tray-Ikon. De VPN-Prozess soll eng etabléiert Verbindung zur Proxyadress halen, an de Proxy sollt d'Zil geloggt hunn, op dat en ugefrot gouf:

ss -tnp | grep openvpn

Dann zielt op en Zil, dat nëmmen den Tunnel kann zerwéieren, an en Numm, op deen nëmmen den Tunnel-Resolväer kann äntweren. Eng ofgeschlossen Proxyverbindung mat engem douden Tunnel heescht meeschtens, datt de Géigeniwwer den Transport, deen an Ärem Profil genannt ass, ni ugebueden huet.

Notéiert den Transport an de Proxy, dee sech ugeholl huet, op enger dauerhafter Plaz. Wann dee selwechte Profil op engem aneren Netzwierk feelt, schléisst oder bestätegt déi Notiz de Proxy a Sekonnen.

Ähnlech Artikelen