So lassen Sie den gesamten Datenverkehr unter Linux über eine Schnittstelle laufen

Ich habe eine selbstgeschriebene Schnittstelle tun0 ( TUN / TAP- basiert), die ausgibt, was sie empfängt.
Ich brauche den gesamten Datenverkehr des Systems, um durch diese Schnittstelle zu fließen.
Die Rolle der Schnittstelle ist:

1. Um Pakete herauszufinden, die wahrscheinlich zensiert werden, und sie zu tunneln.
2. Übergeben Sie den gesamten anderen Verkehr unberührt.

Wie Sie vermuten, versuche ich, ein Antizensur-Tool aufzubauen.
Die Entscheidung über das Tunneln muss innerhalb des tun0-Prozesses getroffen werden,
da nur dort vertrauenswürdiges DNS verwendet werden kann.

Ich brauche Ihre Hilfe, um mir zu zeigen, wie der gesamte Datenverkehr über eine selbst geschriebene Schnittstelle tun0 fließen kann. Wenn tun0 Änderungen benötigt, bitte ich Sie, solche Änderungen bereitzustellen.

Im Folgenden wird beschrieben, wie ich versucht habe, den gesamten Datenverkehr durch tun0 zu leiten, was fehlgeschlagen ist (Pings schlagen fehl).

Kompilieren

1. gcc tun0.c
2. sudo ./a.out

Konfigurieren

1. sudo ip addr add 10.0.0.1/24 dev tun0

2. Tabelle erstellen John

   $ cat /etc/iproute2/rt_tables 
   #
   # reserved values
   #
   255     local
   254     main
   253     default
   0       unspec
   #
   # local
   #
   #1      inr.ruhep
   
   200 John
   

Ordnung ist wichtig:

3. sudo ip rule add from all lookup John
4. sudo ip route add default dev tun0 table John

5. sudo ip rule add iif tun0 lookup main priority 500

   $ ip rule
   0:      from all lookup local 
   500:    from all iif tun0 lookup main 
   32765:  from all lookup John 
   32766:  from all lookup main 
   35000:  from all lookup default 
   

Fehlerbehebung

1. sudo tcpdump -i wlp2s0 -qtln icmpund ping -I tun0 8.8.8.8zeigt dann an , dass keine Pakete erfasst wurden. Dies bedeutet, dass keine Pakete über die iif tun0 lookup mainRegel von tun0 an wlp2s0 übertragen werden .

2. Als ich ersetzt tun0mit loüberall dann funktionierte es für mich.

Auch versucht

1. Ausschalten der Rückwärtsfilterung, rp_filter=0in/etc/sysctl.conf

Antwort Fehlerbehebung

iptables -I FORWARD -j LOG --log-prefix "filter/FORWARD " 
iptables -t nat -I OUTPUT -j LOG --log-prefix "nat/OUTPUT " 
iptables -t nat -I PREROUTING -j LOG --log-prefix "nat/PREROUTING " 
iptables -t nat -I POSTROUTING -j LOG --log-prefix "nat/POSTROUTNG "
tail -f /var/log/syslog

Geänderte Quellen aus der Antwort sind auch hier .

In Ihrer Konfiguration stammen also alle Pakete, von denen Sie versuchen, sie ursprünglich an das Netzwerk zu senden 10.0.0.1(weil sie über die tun0Schnittstelle gehen und deren lokale Adresse lautet 10.0.0.1). Sie erfassen die Pakete, alles ist soweit in Ordnung.
Nun tun0sendet die Pakete weiter. Die Quelladresse lautet 10.0.0.1und Sie möchten, dass die Pakete über eine andere Schnittstelle ( wlp2s0in Ihrem Fall) gesendet werden. Das ist Routing. Aktivieren Sie also zuerst das Routing:

sysctl -w net.ipv4.ip_forward=1

Wenn man sich danach sucht , wird tcpdumpfür wlp2s0Sie die Pakete mit Quelladresse verlassen bemerken können 10.0.0.1und nicht mit der Quelladresse des WLAN - Schnittstelle (was man erwarten würde glaube ich). Wir müssen also die Quelladresse ändern und sie heißt Quell-NAT . Unter Linux ist es mit Hilfe von Netfilter / Iptables einfach :

iptables -t nat -A POSTROUTING -o wlp2s0 -s 10.0.0.1 -j MASQUERADE

Bitte überprüfen Sie auch, ob Ihre FORWARDKette ACCEPTRichtlinien hat , oder Sie müssten die Weiterleitung mit etwas erlauben wie:

iptables -A FORWARD -i tun0 -o wlp2s0 -s 10.0.0.1 -j ACCEPT
iptables -A FORWARD -i wlp2s0 -o tun0 -d 10.0.0.1 -j ACCEPT

Jetzt sollte alles funktionieren: Der Linux-Kernel übernimmt das Routing, er verschiebt Pakete von der tun0Schnittstelle zur wlp2s0. netfilter sollte die Quell-IP 10.0.0.1in die von Ihrer wlp2s0Schnittstelle zugewiesene Adresse für Ausgabepakete ändern . Es speichert alle Verbindungen und wenn die Antwortpakete zurückgehen (falls sie), ändert es die Zieladresse der der wlp2s0Schnittstelle zugewiesenen Adresse 10.0.0.1(die "Conntrack" -Funktion).
Nun, es sollte, aber es tut es nicht. Es scheint, dass netfilter mit dieser komplizierten Routing-Konfiguration und der Tatsache verwechselt wird, dass dasselbe Paket zuerst die OUTPUTKette durchläuft und dann geroutet wird und zur PREROUTINGKette kommt. Zumindest bei Debian 8 Box funktioniert es nicht.
Der beste Weg zur Fehlerbehebung bei Netfilter ist die folgende TRACEFunktion:

modprobe ipt_LOG
iptables -t raw -A OUTPUT -p icmp -j TRACE
iptables -t raw -A PREROUTING -p icmp -j TRACE

Ich aktiviere nur die Ablaufverfolgung für ICMP-Pakete. Sie können zum Debuggen einen anderen Filter verwenden.
Es wird angezeigt, welche Tabellen und Ketten das Paket durchläuft. Und ich kann sehen, dass das Paket nicht weiter die FORWARDKette geht (und es wird nicht von der nat/POSTROUTINGKette gefangen, die es tatsächlich tut SNAT).
Im Folgenden finden Sie einige Ansätze, um diese Arbeit zu machen.

Ansatz Nr. 1

Der beste Weg, um den Netzfilter zu verwirren, besteht darin, die Quell-IP-Adresse der Pakete in der tun0.cAnwendung zu ändern . Es ist auch der natürlichste Weg. Wir müssen 10.0.0.1 auf dem Weg nach außen auf 10.0.0.2 und auf dem Rückweg auf 10.0.0.2 auf 10.0.0.1 ändern .
Ich habe tun0.cmit Quellcode geändert. Hier ist die neue Datei und hier ist eine Patchdatei für Ihre tun0.c. Änderungen am IP-Header beinhalten auch eine Prüfsummenkorrektur , daher habe ich Code aus dem OpenVPN-Projekt übernommen . Hier ist die vollständige Liste der Befehle, die ich nach einem sauberen Neustart und tun0_changeip.cStart ausführe :

ifconfig tun0 inet 10.0.0.1/30 up
sysctl -w net.ipv4.ip_forward=1
ip route add default dev tun0 table John
ip rule add from all lookup John
ip rule add from 10.0.0.2 lookup main priority 500
iptables -t nat -A POSTROUTING -o wlp2s0 -s 10.0.0.2 -j MASQUERADE

Bitte beachten Sie, dass Sie in diesem Fall die Umkehrpfadfilterung nicht deaktivieren müssen , da alles legal ist - tun0nur Pakete empfangen und senden, die zu seinem Subnetz gehören. Sie können auch ein quellenbasiertes Routing anstelle eines schnittstellenbasierten Routings durchführen.

Ansatz Nr. 2

Dies ist möglich, SNATbevor die Paketschnittstelle erreicht tun0wird. Es ist jedoch nicht sehr richtig. In diesem Fall müssen Sie auf jeden Fall die Umkehrpfadfilterung deaktivieren :

sysctl -w net.ipv4.conf.tun0.rp_filter=0
# It won't work without also changing the "all" value
sysctl -w net.ipv4.conf.all.rp_filter=0

Nun tun SNAT: iptables -t nat -A POSTROUTING- -o tun0 es 10.0.0.1 -j SNAT --to-Quelle ip.address.of.your.wlan.interface

Hier ändern wir die Quelladresse kurz bevor die Pakete das tun0Gerät erreichen. tun0.cCode sendet diese Pakete "wie sie sind" (mit geänderter Quelladresse) erneut und sie werden erfolgreich über die WLAN-Schnittstelle weitergeleitet. Möglicherweise haben Sie jedoch eine dynamische IP-Adresse für die WLAN-Schnittstelle und möchten diese verwenden MASQUERADE(um die Schnittstellenadresse nicht explizit anzugeben). So können Sie Folgendes nutzen MASQUERADE:

iptables -t nat -A POSTROUTING -o tun0 -s 10.0.0.1 -j SNAT --to-source 10.0.55.1
iptables -t nat -A POSTROUTING -o wlp2s0 -s 10.0.55.1 -j MASQUERADE

Bitte beachten Sie die " 10.0.55.1" IP-Adresse - es ist anders. Sie können hier jede IP verwenden, es spielt keine Rolle. Die Pakete erreichen die nat/POSTROUTINGKette auf der wlp2s0Schnittstelle, wenn wir zuvor die Quell-IP ändern. Und jetzt ist es nicht mehr von einer statischen IP für die WLAN-Schnittstelle abhängig.

Ansatz Nr. 3

Sie können auch verwenden fwmark. Auf diese Weise brauchen Sie nicht , SNATaber Sie werden nur ausgehende Pakete erfassen:
Erstens wir deaktivieren müssen umgekehrten Weg Filterung für , tun0weil es Pakete weiterleiten , die zu einem anderen Netzwerk gehören:

sysctl -w net.ipv4.conf.tun0.rp_filter=0
# It won't work without also changing the "all" value
sysctl -w net.ipv4.conf.all.rp_filter=0

Now let's alter the routing rules a bit:
# Delete old rules
ip rule del iif tun0 lookup main
ip rule del from all lookup John

# Packets will start going from wlan interface so they will have source address of it
iptables -t mangle -A OUTPUT -o wlp2s0 -j MARK --set-mark 1
ip rule add fwmark 0x1 lookup John

Das ist ein weiterer "Hack" für Routing und Netfilter , der auf meiner Debian 8-Box funktioniert, aber ich empfehle trotzdem, den ersten Ansatz zu wählen , da er natürlicher ist und keine Hacks verwendet.

Sie können Ihre Anwendung auch als transparenten Proxy erstellen . Ich denke, es wäre viel einfacher, als Pakete vom Tun-Gerät zu analysieren.