Redsocks husikiliza kwenye loopback lakini trafiki ya VPN haifiki kamwe

Handaki hupanda, mteja anaweza kupiga ping kwenye lango, na kila ombi la wavuti kupitia njia ya proksi hufa. Mchakato wa redsocks unaendesha na bandari yake inasikiliza, kwa hiyo huduma inaonekana sawa kutoka kwenye lango lenyewe. Kinachoshindikana ni hatua ya uwasilishaji: kifurushi kinachoelekezwa upya kutoka handaki hakianguki kwenye socket uliyoanzisha. Anwani ya uunganishaji na lengo la uelekezaji upya lazima zilingane, na kwa kawaida moja tu kati yao hukaguliwa.

Kifurushi kilichoelekezwa upya huangukia wapi hasa

Proksi ya uwazi kwenye lango hutumia REDIRECT katika jedwali la nat kwenye PREROUTING kuandika upya lengwa la muunganisho unaoingia hadi bandari ya ndani. Lengwa lililoandikwa upya ni anwani ya ndani kama inavyoonekana kutoka kwenye kiolesura kifurushi kilipoingia, si anwani ya loopback ya mchakato ulioanzishwa mahali pengine. Msikilizaji aliyeunganishwa na 127.0.0.1 pekee hupokea miunganisho ambayo tayari ilikuwa ya ndani kwenye mwenyeji, na hii ndiyo hali inayoendelea kufanya kazi wakati trafiki ya handaki inashindikana. Loopback ya mteja mwenyewe ni anwani ya tatu na kamwe si lengo la kanuni ya lango.

Kwa hiyo kabla ya kugusa vyeti vya ngazi ya juu, thibitisha mambo mawili: kanuni huandika upya kwenda anwani gani ya ndani, na socket ya proksi imeunganishwa na anwani gani.

Soma msikilizaji na kanuni ya uelekezaji upya pamoja

Chapisha jedwali la socket na kanuni za nat katika mpito mmoja, kwa sababu kanuni inayoelekeza kwenye bandari ambayo hakuna mwenye nayo inaonekana sawa na kanuni inayoelekeza kwenye anwani isiyo sahihi. sudo ss -ltnp | grep redsocks inaonyesha anwani ya uunganishaji na mchakato mmiliki. sudo iptables -t nat -S PREROUTING inaonyesha lengo la REDIRECT, na sudo iptables -t nat -L PREROUTING -v -n inaonyesha ikiwa kuna kitu kililingana nayo.

Kuruka hadi mnyororo wa mtumiaji uitwao REDSOCKS hakufanikishi chochote isipokuwa mnyororo huo upo na umebeba misamaha iliyokusudiwa na kitendo cha REDIRECT. Soma mnyororo inaoruka kwenda kwake kwa sudo iptables -t nat -S REDSOCKS badala ya kudhani jina hufanya kazi hiyo.

Kisha linganisha thamani mbili. Ikiwa kanuni inaelekeza upya kwenye anwani ya lango kwenye bandari 12345 na msikilizaji anaripoti 127.0.0.1:12345, kutokulingana huko kunaeleza kushindikana bila uchunguzi wowote zaidi.

Unganisha kwa ufinyu, kisha weka kikomo cha kile kinachoweza kuifikia

Usanidi wa mfano wa ngazi ya juu huweka msikilizaji kwenye loopback kwa sababu nzuri: proksi ya uwazi hupokea miunganisho kwa niaba ya yeyote anayeweza kuifikia. Kubadilisha uunganishaji hadi 0.0.0.0 hurekebisha uwasilishaji na wakati huo huo hufungua bandari kwenye kila kiolesura, jambo ambalo ni badiliko la usalama, si ukarabati wowote usio na upande. Pendelea kuunganisha na anwani maalum ya ndani ambayo uelekezaji upya unailenga, na uweke bandari imefungwa kwenye violesura visivyoaminika. Ikiwa uunganishaji mpana hauwezi kuepukika, ongeza kanuni ya firewall ya mwenyeji inayoruhusu tu masafa ya chanzo ya handaki na trafiki ya ndani ya lango lenyewe.

Kufungua bandari kwenye kiolesura cha umma hakuhitajiki kamwe kwa trafiki ya VPN inayoelekezwa upya, kwa sababu muunganisho huisha ndani baada ya kuandika upya. Usiweke proksi wazi kwa intaneti ili uelekezaji upya wa ndani ufanye kazi.

Thibitisha kwa muunganisho mpya kutoka kwa mteja

Jaribu kutoka kwa mteja halisi wa VPN na muunganisho mpya wa TCP, si kutoka kwa shell kwenye lango. curl -sS -o /dev/null -w '%{http_code}\n' http://example.com kwenye mteja hupitia njia iliyoelekezwa upya kutoka mwanzo hadi mwisho.

Kisha thibitisha kuwa muunganisho wa moja kwa moja hadi kwa msikilizaji kutoka kwa mtandao usioaminika bado unakataliwa, na kwamba muunganisho wa juu wa proksi yenyewe haukamatwi tena na kanuni hiyo hiyo. Ukamataji wa kurudia huonekana kama proksi inayoungana na yenyewe na kamwe haikamilishi ombi. Ongeza lengwa la proksi kwenye seti ya misamaha, au weka alama kwenye vifurushi vyake vinavyotoka ili mnyororo uviruke.

Mwisho, kumbuka kile njia hii haifuniki. Uelekezaji upya wa kawaida wa TCP wa redsocks haubadilishi UDP, QUIC au DNS kuwa trafiki ya SOCKS, na malengwa ya kibinafsi kwa kawaida huhitaji misamaha ya wazi. Jaribio la ndani lililofanikiwa linathibitisha tu njia ya loopback ambayo kamwe haikuwa tatizo.