Как локально обойти VPN?

Question

[Александр Маджугин]

Компьютер все время подключен к корпоративному VPN, и соотвественно на других сайтах IP определяется как IP VPN сервера.
А мне это не всегда удобно и для одного из браузеров нужно иметь реальный IP, того место где я сейчас нахожусь. Дома это просто - я по SSH пробрасываю порт от домашнего сервера и настраиваю FF на работу с прокси.
Но как быть в других местах?
Может есть способ как-то настроить какой-то локальный прокси, чтобы нужная мне копия FF была всегда подключена к нему и от него трафик шел в обход VPN?
Надоело постоянно подключать и отключать VPN.

Comments

[shurshur]

Настроить, чтобы VPN не использовался как шлюз по умолчанию. Вручную настроить маршруты к рабочим ресурсам. Остальное будет ходить мимо VPN.

[Василий Банников]

Если это openvpn, то там вроде прямо в конфиге есть опция для этого.
Если это виндовый VPN, то можно вес интерфейсу впна повысить (не помню как), и тогда он будет работать только для корпоративных ресурсов. Вроде ещё суффикс надо настроить в свойствах, но не уверен.

[DevMan]

shurshur, а чо в комментах? это же ответ.

[shurshur]

DevMan, строго говоря, автор не очень ясно выразил свои пожелания. Вомзожно, он хочет на одни и те же сайты выходить с разными IP из разных браузеров, тогда это так просто не сделать.

[DevMan]

shurshur, да достаточно прост. и ваш комент отчасти (по большей части) уже на него отвечает: не пользуйтесь дефолтными маршрутами.
а дальше - дело техники. и техники бывают разными.

[Александр Маджугин]

shurshur, этих ресурсов очень много. Как тех на которые надо попадать из VPN, так и тех на которые VPN не нужен.
Я знаю что их можно настраивать, но тогда мне проще отключать/включать VPN.

[Александр Маджугин]

shurshur, это легко решается с помощью прокси - можно запустить несколько версий FF с разными прокси. Проблема в том что настройка маршрутов утомительна. Мне бы иметь просто отдельный браузер который выходит с реального VPN - это более гибкое и понятно решение.

[AUser0]

А что если прибить к физическому интерфейсу второй IP-адрес, и не VPN-ить его? Посадить туда наиминимальнейший proxy, и готово. Или наоборот сконфигурировать прокси, который будет работать только через VPN, а остальной трафик - без VPN?

P.S. А в Firefox-е аддон FoxyProxy - просто MUST HAVE, особенно из-за его whitelist/blacklist правил выбора прокси. Можно сконфигурировать хоть 100500 прокси серверов, и в зависимости от доменного имени выбирать нужный прокси сервер.

[shurshur]

AUser0, в Linux можно и без второго адреса, просто прибиндить его к интерфейсу и сделать source routing.

[shurshur]

Александр Маджугин, тогда я бы использовал прокси и с помощью FoxyProxy переключал. Даже второй браузер не понадобится.

[Александр Маджугин]

shurshur, мне кроме браузера еще надо чтобы ssh через этот VPN ходил и виртуалки.

[shurshur]

Александр Маджугин, в общем, есть куда и что костылять :)

Answer 1

[rPman]

Когда то очень давно я похожую проблему решил так, запустил виртуальную машину, подключил ее сеть через сетевой мост к моей локальной сети, в ней подключение было без vpn (ведь с точки зрения сети виртуальная машина просто отдельно стоящая машина, а vpn поднят на одной моей), в этой машине поднимается socks5 прокси на основе ssh, с помощью подключения ssh -D1080, а в браузере были настроены правила автовыбора прокси с помощью расширения FoxyProxy (сейчас у меня отдельный браузер со своим профилем запущен)

Чтобы ресурсы лишние не тратить я пользовался собственной linux сборкой (по факту это был подправленный initramfs, считанные мегабайты ram), а так как windows была 32-битная, я пользовался проектом colinux (это примерно то что сейчас представляет майкрософтовский wsl без виртуализации, но у wsl нет гибких настроек сети)

p.s. На linux подобная задача решается штатными инструментами cgroup и виртуалка не понадобится, можно каждому приложению выделить свою cgroup со своими сетевыми правилами.

Comments

[Александр Маджугин]

На linux подобная задача решается штатными инструментами cgroup и виртуалка не понадобится, можно каждому приложению выделить свою cgroup со своими сетевыми правилами.

А можно поподробнее с этого места? Как мне поднять proxy, в отдельной cgroup с отдельными сетевыми правилами?
Я конечно сейчас погуглю, но буду благодарен за подсказу.

[rPman]

Сам я так глубоко не лез, просто общее представление о возможностях имею, так что лучше сам гугли, мануалы есть.

Знаю что на их основе сделан lxc так что если надо по быстрому, то лучше им и пользуйся, это по факту виртуалка без виртуализации (chroot на стероидах), разворачиваешь минимальный образ (тем же debootstrap) настраиваешь там сеть и все как я описал

[shurshur]

Александр Маджугин, общий смысл в том, что делается cgroup (cgreate), затем, например, в iptables ставится MARK на нужную cgroup и в iproute2 делается правило from fwmark XXX lookup ТАБЛИЦА.

Ещё одна технология, которая может применяться для всяких клёвых вещей - network namespace. Это некий аналог VRF в сетевом оборудовании, отдельный сетевой стек со своими интерфейсами, настройками и правилами.

Вот так я сделал однажды на коленке "виртуальный роутер" на сервере безо всяких виртуалок на новогодние праздники против одной нерешённой на тот момент проблемы в сети (в итоге потом выяснился баг в циске, который надо было правильно обходить):

NETNS=test
IF=bond0.636
NEWIF=macvlan0
IP=10.160.128.39
IPMASK=24
NET=10.160.128.0/24
GATEWAY=10.160.128.1

# создаём namespace
ip netns add $NETNS
# создаём macvlan-интерфейс
ip link add link $IF $NEWIF type macvlan mode bridge
# переносим интерфейс в namespace
ip link set netns $NETNS $NEWIF
# настраиваем сеть
ip netns exec $NETNS ip a add $IP/$IPMASK dev $NEWIF
ip netns exec $NETNS ip link set up $NEWIF
ip netns exec $NETNS ip ro add default via $GATEWAY

docker, lxc и другие подобные системы вовсю используют namespaces и cgroups, но ничто не мешает использовать их самостоятельно.

Если надо между двумя netns (например, хостовым и таким виртуальным) организовать взаимодействие, то можно сделать virtual ethernet pair и разнести интерфейсы пары в разные неймспейсы. Трафик в одном конце пары будет появляться в интерфейсе другого конца. Так можно много чего понастроить.