Как можно завернуть трафик с TAP интерфейса в socks5 прокси?

Question

[gameoverlord]

Добрый день.

Очень нужно решение для Debian.
Нужно завернуть трафик с TAP интерфейса в socks5 прокси.
Почему TAP а не TUN? Для дальнейшего бондинга.

tun2socks с TAP интерфейсами не работает.
socat как я понял тоже...

Как реализовать?
Подскажите, пожалуйста.

Заранее спасибо за любую вашу активность в вопросе!

Comments

[Drno]

Как Вы завернете порт с условного "свитча" в socks ?

[gameoverlord]

Drno, Это невозможно реализовать?
На tap интерфейсе адрес прописан типа 10.1.1.1/24, может по source адресу с помощью iptables?

Я пытаюсь такое сделать.
Создаю tap интерфейс, настраиваю его и поднимаю:

sudo ip tuntap add dev tap0 mode tap
sudo ip addr add 10.1.1.1/24 dev tap0
sudo ip link set dev tap0 up

правила в iptables пишу:

sudo iptables -t nat -A PREROUTING -i tap0 -p tcp -j REDIRECT --to-ports 6001
sudo iptables -t nat -A POSTROUTING -o tap0 -j MASQUERADE

И не работает.
(((

[Drno]

gameoverlord, надо переадресовать порт tcp, который приходит на интерфейс tap0 ?

[gameoverlord]

Drno, надо переадресовать весь трафик с tap0 интерфейса в socks5 прокси, который работает на порту 6001.

не особо дружу с iptables, честно говоря...

[Drno]

gameoverlord, ну по идее то верно...
sudo iptables -t nat -A PREROUTING -i tap0 -p tcp -j REDIRECT --to-ports 6001
sudo iptables -t nat -A PREROUTING -i tap0 -p udp -j REDIRECT --to-ports 6001
sudo iptables -t nat -A POSTROUTING -o tap0 -j MASQUERADE

вопрос где этот прокси - локально? тогда должно по идее работать, судя по гуглу

ну и надо NAT в ядре включить было
echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf
sysctl -p

[gameoverlord]

Drno,
прокси локально - 127.0.0.1 порт 6001, настроен с помощью 3proxy
в ядре echo net.ipv4.ip_forward=1 конечно включено

правила iptables привел в соответствии с видом:

sudo iptables -t nat -A PREROUTING -i tap0 -p tcp -j REDIRECT --to-ports 6001
sudo iptables -t nat -A PREROUTING -i tap0 -p udp -j REDIRECT --to-ports 6001
sudo iptables -t nat -A POSTROUTING -o tap0 -j MASQUERADE

Для теста настраиваю маршрут по умолчанию через tap0 интерфейс:

ip route add default dev tap0 metric 0

пинг не проходит.

При просмотре таблицы маршрутизации маршрут через tap0 вижу так:
default dev tap0 scope link linkdown

С помощью ip addr смотрю, он там тоже DOWN.

Закрадываются сомнения, а можно вообще так тупо и напрямую трафик в прокси заворачивать?
Может господин Дубровин подскажет...

[gameoverlord]

Похоже нужно в 3proxy настроить прозрачное проксирование, иначе прокси сервер (3proxy) просто не поймет что за трафик ему на порту 6001 загоняют.

Как перенаправить весь исходящий трафик на socks прокси, используя iptables?

[Drno]

gameoverlord, не копал насчет прозрачного проксирования, тут не могу сказать.
маршрут по умолчанию на ТОМ же сервере? если да - то это работать не будет, т.к. инет то идет от другой сетевухи

[Uno]

gameoverlord, не в обиду Заразе, но иногда 3proxy это сущий ад, у меня есть постоянный интерес его настроить и никогда не получается

[gameoverlord]

Uno, не знаю, пользуюсь очень давно, мое мнение -вещь отличная!

[Uno]

gameoverlord, отличная однозначно, и автор часто помогает, но иногда неочевидная

[Владимир Дубровин]

Завернуть в прокси действительно недостаточно, надо настроить
https://3proxy.ru/plugins/TransparentPlugin/
иначе прокси не знает куда коннектиться;

Либо можно использовать tlspr в текущем мастере
https://github.com/3proxy/3proxy/commit/013d4bc333... - первый пример
но только для определенного порта, например 443, имя хоста прокси получит из TLS-хендшейка

[Владимир Дубровин]

И да - прокси ничего не может сделать со статусом интерфейса, если интерфейс лежит - то прокси тут непричем
И пинги, разумеется, через прокси ходить не будут - только TCP трафик

[gameoverlord]

Владимир Дубровин, честно говоря никак не могу понять что нужно сделать чтобы TAP интерфейс поднялся, создавал его уже разными утилитами. Я ему UP, а он упорно DOWN (((
Только openvpn'ом не пробовал еще..

[gameoverlord]

Владимир Дубровин, стоит цель объединить несколько прокси цепочек с помощью встроенного в Linux бондинга. Бондинг работает только с TAP интерфейсами, но нужно чтобы ТАР живой был по крайней мере, а то объединять нечего.
Что-то типа MCTCP, но используя 3proxy...

[Владимир Дубровин]

Прокси это прикладной уровень, TAP это канальный уровень, на момент запуска прокси TAP уже должен быть живым, и если трафик до прокси не доходит - я здесь ничего не подскажу. Если надо чтобы прокси начинал/прекращал использовать интерфейс при поднятии/опускании интерфейса, то это делается через ifup/ifdown скрипты.

Кстати, надо не забывать что роутинг и прокси надо настроить так, чтобы трафик от самого прокси не завернуть обратно, например за счет биндинга интерфейса для внешних соединений (-OeINTERFACE) или биндинга внешнего IP (-eIP) + source routing.

Answer 1

[Alexey Dmitriev]

гуглить "socksify linux", если есть реализация для отправки трафика с интерфейса или маркированного в iptables - Значит можно, если нет - значит нельзя.