Search Results for sni proxy |

SNIProxy 绑定设备后连接超时

edgerouter lite 我之前是tun模式的openvpn site-to-site，网络拓扑很简单，local tun remote tun，简单配个ip就行，edgerouter上直接使用interface-route 跳转到local tun就行了。后来换用了softether，tap模式，于是需要自己配置IP和路由表。我简单地把firewall modify的地址组切到新的设备上，但是之前的 google dns 和 sniproxy 都保留在openvpn侧。但是最近openvpn被查的厉害，ssh也是被盯上了，所以不得不切换设备到 softether 的 tap 上。

listen 192.168.12.2:3543 {
    proto tls
    table https_hosts
    device tap_vbr
}

listen 192.168.12.2:3543 {

proto tls

table https_hosts

device tap_vbr

}

测试，发现连接超时。测试使用的域名是 download.oracle.com，解析的ip是 106.187.61.57。路由上tcpdump

tcpdump -n -i tap_vbr

1	tcpdump -n -i tap_vbr

看到的请求却是：

14:22:04.471223 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28
14:22:05.471221 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28
14:22:06.475322 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28
...

14:22:04.471223 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28

14:22:05.471221 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28

14:22:06.475322 ARP, Request who-has 106.187.61.57 tell 192.168.99.50, length 28

...

所以。。。加路由吧。因为公司是固定IP，所以之前配的是 system gateway-address。这个时候直接配静态路由会报错：

root@ubnt# set protocols static route 0.0.0.0/0 next-hop 192.168.99.1 distance 100
Error: can not combine system gateway and static default route

1 2	root@ubnt# set protocols static route 0.0.0.0/0 next-hop 192.168.99.1 distance 100 Error: can not combine system gateway and static default route

先删后加

root@ubnt# delete system gateway-address 
[edit]
root@ubnt# commit
[edit]
root@ubnt# set protocols static route 0.0.0.0/0 next-hop my.static.gateway.address distance 10
[edit]
root@ubnt# set protocols static route 0.0.0.0/0 next-hop 192.168.99.1 distance 100
[edit]
root@uebnt# commit
[edit]
root@ubnt# save 
Saving configuration to '/config/config.boot'...
Done

root@ubnt# delete system gateway-address

[edit]

root@ubnt# commit

[edit]

root@ubnt# set protocols static route 0.0.0.0/0 next-hop my.static.gateway.address distance 10

[edit]

root@ubnt# set protocols static route 0.0.0.0/0 next-hop 192.168.99.1 distance 100

[edit]

root@uebnt# commit

[edit]

root@ubnt# save

Saving configuration to '/config/config.boot'...

Done

注意一下，delete执行完后需要先commit，否则还会报错。验证一下

root@ubnt# netstat -nr
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
0.0.0.0         my.st.gw.addr   0.0.0.0         UG        0 0          0 eth1
0.0.0.0         192.168.99.1    0.0.0.0         UG        0 0          0 tap_vbr

root@ubnt# netstat -nr

Kernel IP routing table

Destination Gateway Genmask Flags MSS Window irtt Iface

0.0.0.0 my.st.gw.addr 0.0.0.0 UG 0 0 0 eth1

0.0.0.0 192.168.99.1 0.0.0.0 UG 0 0 0 tap_vbr

如果执行命令前会纠结是否生效，简单 route add 测试一下即可。无比保证vpn的metric比默认网关的大。另，interface-route + route 的混合模式没测试。 Link to this post!

SoftEther Error 13 with HAProxy or SNIProxy

I set up an HAProxy (also tried SNIProxy) on my EdgeRouter, sharing port 443 for internal port forwarding and SoftEther Server on Router. When I connect to port 443 from another SoftEther Server, I got a Timeout error, my error message was in Simplified Chinese on my Windows box, I googled and found other ppl … Continue reading “SoftEther Error 13 with HAProxy or SNIProxy”

基于SNIProxy的路由端网络流量定制分发方案

标题感觉很高大上，其实写得乱七八糟。前序文章： SNIProxy Bind Outgoing Interface Build SNIProxy Debian Package for EdgeRouter Ubnt EdgeRouter Lite 和 EdgeRouter X 上安装使用SNIProxy 不急，上边三篇可能会在本文内提及。首先，sniproxy不解释了，但是如标题所属，sniproxy的版本不支持我要的功能，所以我就fork然后改了。具体思路参考上述第一个链接。接下来，直接进入正题。按之前的玩法，我使用路由表来控制流量。这是一个很典型，也很正确的做法；但是也是一个很不好用的玩法。参考文章：Set up OpenVPN Site-to-Site on UBNT EdgeRouter Lite, EdgeOS PPTP VPN客户端配置 PS：我维护了一份自己的路由表，地址在 https://ip.rst.im/blocks/sskaje 为了让定制化程度高一些，我配了一个Socks代理，实际上是在vpn对端配置的，本地路由做了个DNAT，转发过去了。这样我就可以用firefox＋foxyproxy实现本地定制化规则。参考文章：UBNT VPN + Socks5 代理和 Set up dante-server on Ubuntu 后来考虑到上述用起来麻烦，又趁着回老家的时候，在家里的ac68u merlin上实践了下WPAD，不过没有在自己家里的edgerouter上搞。参考文章：Setup WPAD on Asus … Continue reading “基于SNIProxy的路由端网络流量定制分发方案”

SNIProxy Bind Outgoing Interface

这篇纯技术，没兴趣的别看。关于需求最早试图用路由器自带的功能去实现sni检测＋自动路由，结果发现edgerouter的dpi没开放太多资料。再又试图用squid去实现正向代理，绑定上行网络地址或者设备，虽然edgerouter自带squid以实现transparent proxy，但是自带版本SNI检测不支持（新版不知），绑定upstream的地址或者设备也没看到有人说支持。又考虑过haproxy，但是这个必须自己写backend（似乎可以haproxy + squid，没去实践过，至少haproxy的acl要写好长；而且这个组合里haproxy都可以直接被跳过，反正有DNAT也有DNS劫持）。从上边的方案思考过程，我觉得应该能看懂我想要什么。关于实现选用sniproxy，也算偶然。虽然之前vps上实验sni检测＋代理的时候，大概看了眼（但是最后还是选了haproxy）。不过最后选这个的重要原因就是好改 XD 官方github在https://github.com/dlundquist/sniproxy。先考虑的方案是，通过socket上联时绑定客户端IP。本身支持上行设置请求的源地址，大致实现代码在 connection.c：

    if (con->listener->source_address) {
        int on = 1;
        setsockopt(sockfd, SOL_SOCKET, SO_REUSEADDR, &on, sizeof(on));

        int result = 0;
        int tries = 5;
        do {
            result = bind(sockfd,
                    address_sa(con->listener->source_address),
                    address_sa_len(con->listener->source_address));
        } while (tries-- > 0
                && result < 0
                && errno == EADDRINUSE
                && address_port(con->listener->source_address) == 0);
        if (result < 0) {
            err("bind failed: %s", strerror(errno));
            close(sockfd);
            abort_connection(con);
            return;
        }
    }

if (con->listener->source_address) {

int on = 1;

setsockopt(sockfd, SOL_SOCKET, SO_REUSEADDR, &on, sizeof(on));

int result = 0;

int tries = 5;

do {

result = bind(sockfd,

address_sa(con->listener->source_address),

address_sa_len(con->listener->source_address));

} while (tries-- > 0

&& result < 0

&& errno == EADDRINUSE

&& address_port(con->listener->source_address) == 0);

if (result < 0) {

err("bind failed: %s", strerror(errno));

close(sockfd);

abort_connection(con);

return;

}

但是经过试验，配置source address后，数据包还是会根据路由上的路由表跳到域名解析IP该走的那个网络。所以，这个方案是不满足我的要求的。如果绑定IP不行，那就试试绑定设备。绑定IP的方案的可行性，很早以前跟同学Windows下讨论一个客户端设计的时候验证过；但是绑定设备的，完全没搞过。现查。然后查到了 SO_BINDTODEVICE。 SO_BINDTODEVICE Bind this socket to a particular device like “eth0”, as specified in the passed interface name. If the name is an empty string or the option length is zero, … Continue reading “SNIProxy Bind Outgoing Interface”

Build SNIProxy Debian Package for EdgeRouter

SNIProxy的最新版0.4.0，上一次提交已经很久以前了，建议直接使用github库里的代码。官方github：https://github.com/dlundquist/sniproxy 我的fork：https://github.com/sskaje/sniproxy 如前文所说，Debian Wheezy已经LTS了，所以从依赖开始。不过，我没有去配交叉编译的环境，而是直接qemu装了两个虚拟机，一个mips（给EdgeRouter Lite），一个mipsel（给EdgeRouter X），具体方法可以参考之前的blog：Install Debian MIPS and Debian PowerPC on OSX。好处是，闭着眼睛就可以配构件环境；坏处是，慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢慢到死了。以mips为例，mipsel一模一样。构件环境不说了。先编译 libudns。 udns的官方包里没有debian的打包配置，所以我直接从debian官方包列表的链接里下载，下载地址在：https://packages.debian.org/source/sid/udns 三个文件都下，用到的是两个tarball。

# tar xvf udns-0.4.tar.gz 
# cd udns-0.4/
# tar xvf ../udns_0.4-1.debian.tar.gz 
# dpkg-buildpackage -us -uc

# tar xvf udns-0.4.tar.gz

# cd udns-0.4/

# tar xvf ../udns_0.4-1.debian.tar.gz

# dpkg-buildpackage -us -uc

按上述命令执行完之后，deb包会出现在上一级目录，生成的文件包括： libudns0_0.4-1_mips.deb libudns-dev_0.4-1_mips.deb udns-utils_0.4-1_mips.deb udns_0.4-1_mips.changes 其中，libudns-dev_0.4-1_mips.deb 直接安装在开发环境，libudns0_0.4-1_mips.deb 装在路由上。

dpkg -i libudns-dev_0.4-1_mips.deb

1	dpkg -i libudns-dev_0.4-1_mips.deb

然后编译sniproxy git clone 之后，同样进目录执行

dpkg-buildpackage -us -uc

1	dpkg-buildpackage -us -uc

Incoming search terms:libudnspackages for edgerouterquietly4mjsniproxy debianubuntu systemd sniproxyLink to this post!