VyOS 实现LAN 流量劫持

以前 EdgeRouter 时代，使用的是 DNAT + redsocks + charles/mitmproxy 实现的流量劫持和分析，比较麻烦的点是，redsocks的配置文件需要维护，服务需要重启，每次系统升级（虽然好多年没升级了）都需要重装 redsock，所以当时搞了一套初始化脚本，脱离config tree自动安装deb，自动加载配置，自动symlink配置文件。

换到 VyOS 之后，本来也想搞这一套，被研发打回来了，他们不接受过分灵活的config tree，让我用 container。

新方案用 hev-socks5-tunnel，直接把流量转给另外一台主机上的mitmproxy。charles proxy也可以用同样的方法配置

开 mitmweb，方便web看数据

mitmweb --web-host 0.0.0.0 --mode socks5 --listen-port 8889

下列命令创建container，配置PBR

set container name tun2socks allow-host-networks
set container name tun2socks capability 'net-admin'
set container name tun2socks device dev-net-tun destination '/dev/net/tun'
set container name tun2socks device dev-net-tun source '/dev/net/tun'
set container name tun2socks environment CONFIG_ROUTES value '0'
set container name tun2socks environment IPV4 value '198.51.100.1'
set container name tun2socks environment LOG_LEVEL value 'debug'
set container name tun2socks environment MTU value '8500'
set container name tun2socks environment SOCKS5_ADDR value '192.168.11.19'
set container name tun2socks environment SOCKS5_PORT value '8889'
set container name tun2socks environment SOCKS5_UDP_MODE value 'udp'
set container name tun2socks environment TUN value 'tun9'
set container name tun2socks image 'ghcr.io/heiher/hev-socks5-tunnel:latest'


set protocols static table 19 description 'route to mitmproxy'
set protocols static table 19 route 0.0.0.0/0 interface tun9

set policy route PBR   interface 'eth2'
set policy route PBR rule 50 set table '19'
set policy route PBR rule 50 source group address-group 'SRC_HIJACK_MITMPROXY'


# firewall rules ...

防火墙规则需要自己搞定，按需NAT。

nftables 不支持 ipset 那样动态操作成员了，只能在config tree里维护。

这个方法和以前一样，只能去分析 TCP 协议。如果有 UDP 的需求可以尝试 WireGuard 的方式。