Как настроить 3proxy в качестве DNS proxy?

Question

[DaveVan]

Здравствуйте.

ОС Debian 12.
В системе настроен sock5 прокси, который пропускает только ТСР, UDP не пропускает (не 3proxy).
Клиенты отправляют DNS запросы на 127.0.0.1:53 (UDP), нужно перенаправить эти запросы, через прокси.
И очень бы хотелось локально ничего не резольвить, только через прокси.
Видимо сначала нужно перевернуть UDP в TCP, а затем TCP завернуть в sock5 прокси.
Предполагаю использовать для этого 3proxy и если нужно unbound или что-то типа этого.

В сети нашел конфигурацию уважаемого автора 3proxy, которая как мне кажется может быть мне полезна.
Но уж больно сложная для меня. (конфиг под себя попробовал переделать)

pidfile /var/run/3proxy.pid
log /var/log/3proxy.log
allow *
parent 1000 socks5 192.168.10.100 2080
parent 500 tcp 1.1.1.1 53
parent 500 tcp 8.8.8.8 53
tcppm -i127.0.0.1 10052 127.0.0.1 11111
flush
nserver 127.0.0.1:10052/tcp
nscache 65536
nscache6 65536
dnspr -i192.168.10.100 -p53

Запустил 3proxy с указанной конфигурацией, пробую dig @192.168.10.100 amazon.com, в логах это:
250128114237.584 10052 00000 - 127.0.0.1:40671 192.168.10.100:2080 41 22 2 127.0.0.1
250128114237.584 10052 00000 - 127.0.0.1:46037 192.168.10.100:2080 41 22 2 127.0.0.1
250128114242.584 10052 00000 - 127.0.0.1:57997 192.168.10.100:2080 41 22 2 127.0.0.1
250128114242.584 10052 00000 - 127.0.0.1:42335 192.168.10.100:2080 41 22 2 127.0.0.1
250128114247.589 10052 00000 - 127.0.0.1:44815 192.168.10.100:2080 41 22 2 127.0.0.1
250128114247.589 10052 00000 - 127.0.0.1:46795 192.168.10.100:2080 41 22 2 127.0.0.1
250128114248.082 10052 00000 - 127.0.0.1:45179 192.168.10.100:2080 30 22 2 127.0.0.1

Вопросы.

1. Достаточно ли для реализации задачи одного 3proxy или какой-то еще DNS сервер добавить в схему?
2. Помогите разобраться с конфигурацией 3proxy, чтобы решить поставленную задачу.
Не понятно в частности куда перенаправляется трафик с помощью
tcppm -i127.0.0.1 10052 127.0.0.1 11111
То есть мы ждем DNS запросы на порту 10052 (nserver 127.0.0.1:10052/tcp) и куда и для чего перенаправляем?

Заранее благодарен за ваши значимые ответы.

Comments

[Владимир Дубровин]

127.0.0.1 11111 в tcppm в данном случае не имеют значения, можно написать любые ip/port, они будут перезаписаны правилами
parent 500 tcp 1.1.1.1 53
parent 500 tcp 8.8.8.8 53
(с вероятностью 50% каждое).
Убедись что используешь свежую версию и правильно указал тип/параметры прокси:

% sudo ./3proxy 123.tmp 
250128162800.225 10052 00000 - 127.0.0.1:10052 0.0.0.0:0 0 0 0 Accepting connections [47215/212152320]
250128162800.229 53 00000 - 192.168.3.2:53 0.0.0.0:0 0 0 0 Accepting connections [47215/212230144]
250128162803.258 53 00000 - 192.168.3.2:57638 127.0.0.1:10052 30 78 0 0001/amazon.com/54.239.28.85
250128162803.258 10052 00000 - 127.0.0.1:62669 x.x.x.x:yyyy 30 100 2 127.0.0.1

% dig @192.168.3.2 amazon.com

; <<>> DiG 9.10.6 <<>> @192.168.3.2 amazon.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 18341
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;amazon.com.			IN	A

;; ANSWER SECTION:
amazon.com.		205	IN	A	54.239.28.85

;; Query time: 239 msec
;; SERVER: 192.168.3.2#53(192.168.3.2)
;; WHEN: Tue Jan 28 19:28:03 MSK 2025
;; MSG SIZE  rcvd: 44

% cat 123.tmp
log
allow *
parent 1000 socks5 x.x.x.x yyyy
parent 500 tcp 1.1.1.1 53
parent 500 tcp 8.8.8.8 53
tcppm -i127.0.0.1 10052 127.0.0.1 11111
flush
nserver 127.0.0.1:10052/tcp
nscache 65536
nscache6 65536
dnspr -i192.168.3.2 -p53

Answer 1

[Владимир Дубровин]

Если достаточно ходить только в google то можно

pidfile /var/run/3proxy.pid
log /var/log/3proxy.log
allow *
parent 1000 socks5 192.168.10.100 2080
tcppm -i127.0.0.1 10052 8.8.8.8 53
flush
nserver 127.0.0.1:10052/tcp
nscache 65536
nscache6 65536
dnspr -i192.168.10.100 -p53

Comments

[DaveVan]

Спасибо!
Теперь понятней, пошел реализовывать.
Напишу.

[DaveVan]

Вот рабочая конфигурация для перенаправления стандартных DNS запросов (UDP на 53 порт) через TCP прокси (socks5) со случайным перебором нескольких DNS серверов, отличных от растиражированных google и cloudfare:

pidfile /var/run/3proxy.pid
log /var/log/3proxy.log

allow *
parent 1000 socks5 127.0.0.1 2080
parent 160 tcp 2.56.220.2 53
parent 140 tcp 95.85.95.85 53
parent 140 tcp 208.67.222.222 53
parent 140 tcp 134.195.4.2 53
parent 140 tcp 193.110.81.0 53
parent 140 tcp 114.114.114.114 53
parent 140 tcp 223.5.5.5 53
tcppm -i127.0.0.1 10052 127.0.0.1 11111

flush

nserver 127.0.0.1:10052/tcp
nscache 65536
nscache6 65536

dnspr -i192.168.10.100 -p53