Приказ провайдерам

Уточнения к приказу

Преамбула: без чего никак

Ввиду государственных/корпоративных поползновений на остатки свободы ходить взрослым людям по просторам интернетов куда заблагорассудится, встаёт вопрос, каким образом от оных препон хоть «на минималках» отгородиться.

Что ж, попробуем. Решаться будет две задачи:

Резолвинг

dnscrypt-proxy^[1] запрашивает соответствие между человеческими и айпическими адресами у серверов, умеющих шифроваться, дабы вышесидящие над нами органы не могли манипулировать процессом.

tor производит то же самое в отношении незарегистрированной зоны .onion.

dnsmasq/unbound кэшируют все эти запросы ради быстрого резолвинга для всех устройств в обслуживаемой сети.

Проксирование

tor (двустаночник, чесслово!) — пропускает через себя запросы к:

онион-сайтам (чего мимо него и не выйдет);
запретным ресурсам в соответствии с…
- персональным списком из браузерного плагина (FoxyProxy, SwitchyOmega и т.п. — см. заметку про настройки для персонального компа) и/или
- скриптом автопрокси, размещённым на внутрисетевом веб-сервере.

obfs4^[1] — «запутывающий» (obfuscating) прокси, добавка к tor'у.

lighttpd (не обязательный компонент) — лёгкий и простой в настройке веб-сервер для раздачи в локалку вышеупомянутого скрипта автоопределения прокси.

Амбула: реализация

Понадобится установить пакеты:

tor — для подключения к сети «луковых» маршрутизаторов и преобразования «луковых» имён в IP'ы;
torsocks — для пропуска хостов локальной сети в «луковую»;
obfs4 — для обхода РКНовских блокировок tor'а по «мостикам»;
dnscrypt-proxy — то же самое, но для плебса: без препонов, чинимых хоть вышестоящим провайдером, хоть надзорными органами;
dnsmasq (на уровне организации/квартиры) или
unbound (в масштабе провайдера) — для кэширования запросов к обоим вышеозначенным «шифрующимся» (эрго, довольно неспешным) резолверам.
lighttpd (см. ниже) — для ориентирования узлов сети, к каким ресурсам черезо что ходить.

Например (зависит от используемого дистрибутива), так:

# apt-get update && apt-get install -y dnscrypt-proxy dnsmasq lighttpd obfs4 tor torsocks unbound

The Onion Router («луковый» маршрутизатор)

Примечание: Здесь и далее — адреса/порты выбирайте уместные для своих реалий.

Настроим так, чтобы он и в ДНС умел, и к ресурсам пропускал. Добавим в его конфиг /etc/tor/torrc:

VirtualAddrNetwork    172.16.0.0/12   # «Серая» сеть, не используемая на предприятии…
AutomapHostsOnResolve 1               # …адрес из которой прикреплять к IPv6-адресу каждого онион-сайта.
DNSPort               853             # Порт на петлевом интерфейсе для резолвинга .onion-имён…
TransPort             9050            # …а этот — для перенаправления в тор-сеть запросов к таким сайтам.
SocksPort             10.0.1.187:9050 # Собственный адрес:порт нашего сервера в обслуживаемой локалке, если надо проксировать запросы к недоступным напрямую ресурсам (см. «Сценарий проксирования» ниже).

Про обфускацию (запутывание) для обхода блокировок см. здесь.

«Шифрующийся» ДНС-прокси

Умолчально слушает запросы на 127.0.2.1:53 (как системд велит), мой примитивный конфиг /etc/dnscrypt-proxy.toml выглядит так:

# Empty listen_addresses to use systemd socket activation
listen_addresses = []
server_names = ['cisco', 'cisco-ipv6']
dnscrypt_servers = true
doh_servers = true
use_syslog = true
[sources]
    [sources.'public-resolvers']
    url = 'https://download.dnscrypt.info/resolvers-list/v2/public-resolvers.md'
    cache_file = 'public-resolvers.md'
    minisign_key = 'RWQf6LRCGA9i53mlYecO4IzT51TGPpvWucNSCh1CBM0QTaLn73Y7GFO3'
    refresh_delay = 72
    prefix = ''

Кэширующий ДНС

Примечание: Работают оба резолвера — проверено в одном и том же контейнере поочерёдно. Просто unbound для конторы/квартиры избыточен без выделенного контейнера под него, а как раз dnsmasq зачастую уже крутится на маршрутизаторе и выступает главным дхцпшником/днс-кэшером, которому всего-то остаётся подкорректировать настройки (см. ниже).

UnBound

/etc/unbound.conf, где искать настройки:
```
include-toplevel: "/etc/unbound.d/*.conf"
```

/etc/unbound.d/server.conf, основные параметры:

server:
    do-not-query-localhost: no
    interface: 127.0.0.1
    interface: 10.0.1.187
    domain-insecure: "onion"
    private-domain: "onion"
    local-zone: "onion." nodefault

/etc/unbound.d/forwards.conf, куда стучаться за зонами "onion" — тор, и "." — всеми прочими:

forward-zone:
    name: "onion"
    forward-addr: 127.0.0.1@853

forward-zone:
    name: "."
    forward-addr: 127.0.2.1

DNSmasq

В /etc/dnsmasq.conf раскомментировать строчку:

conf-dir=/etc/dnsmasq.d/,*.conf

И создать парочку файлов.

/etc/dnsmasq.d/main.conf:

bind-interfaces
expand-hosts
localise-queries
log-queries
# ставьте имя своего интерфейса в локалку!
interface=lan

/etc/dnsmasq.d/dns.conf (onion-имена запрашивать у тора, все остальные — у днс-криптопрокси):
```
server=/onion/127.0.0.1#853
server=127.0.2.1
```

Переадресация запросов к .onion-сайтам

Ну, онион-имена через торовский ДНС-порт теперь резолвятся. Но чтобы до них достучаться, эти стуки следует тоже пропустить через тор — скажем, посредством нф-таблиц (примеры к ип-таблицам можете нагуглить самостоятельно, их тьмы и тьмы).

Запросы машин из локалки к адресам из VirtualAddrNetwork следует перекидывать на локальный транспортный тор-порт, добавив в файл настроек /etc/nftables.conf (в моём случае):

table ip nat {
    chain prerouting {
        type nat hook prerouting priority filter
        iif "lan" ip daddr 172.16.0.0/12 tcp flags & (syn | ack) == syn redirect to 9050
    }
}

А чтоб клиентам можно было ходить не только на .onion-сайты, но и прочие блокируемые ресурсы (а также забирать список проксирования, да и по ссх к нашему серверу подключаться), добавим ещё и это:

table inet filter {
    chain input {
        type filter hook input priority filter
        ct state new tcp dport {ssh,www,9050} tcp flags & (syn|ack) == syn accept
    }
}

Для пропуска же клиентских запросов наружу не обойтись без включения маршрутизации — в файл /etc/sysctl.d/router.conf добавить строчку net.ipv4.ip_forward = 1 и применить без перезагрузки командой:

# sysctl -w net.ipv4.ip_forward=1

Тестамбула: доверяй, но…

С нашего прокси

Запустим всё добро

# systemctl enable --now nftables tor dnscrypt-proxy lighttpd (если раздаём скрипт WPAD отсюда же) dnsmasq (или unbound)

Глянем, кто слушает ДНС-запросы

root@dnsproxy:~# lsof -ni :53 -ni :853

COMMAND    PID            USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
systemd      1            root   22u  IPv4 2398895732      0t0  TCP 127.0.2.1:domain (LISTEN)
systemd      1            root   24u  IPv4 2398895733      0t0  UDP 127.0.2.1:domain 
systemd-r 1542 systemd-resolve   17u  IPv4 2498608608      0t0  UDP 127.0.0.53:domain 
systemd-r 1542 systemd-resolve   18u  IPv4 2498608609      0t0  TCP 127.0.0.53:domain (LISTEN)
unbound   3247         unbound    3u  IPv4 2532507011      0t0  UDP 127.0.0.1:domain 
unbound   3247         unbound    4u  IPv4 2532507012      0t0  TCP 127.0.0.1:domain (LISTEN)
unbound   3247         unbound    5u  IPv4 2532507013      0t0  UDP 10.0.1.187:domain 
unbound   3247         unbound    6u  IPv4 2532507014      0t0  TCP 10.0.1.187:domain (LISTEN)
dnscrypt- 3512 _dnscrypt-proxy    9u  IPv4 2398895732      0t0  TCP 127.0.2.1:domain (LISTEN)
dnscrypt- 3512 _dnscrypt-proxy   10u  IPv4 2398895733      0t0  UDP 127.0.2.1:domain 
tor       1964            _tor    7u  IPv4 2508094076      0t0  UDP 127.0.0.1:domain-s

Поопрашиваем наш кэш

admin@dnsproxy:~$ host ya.ru localhost

Using domain server:
Name: localhost
Address: ::1#53
Aliases: 

ya.ru has address 87.250.250.242
ya.ru has IPv6 address 2a02:6b8::2:242
ya.ru mail is handled by 10 mx.yandex.ru.

admin@dnsproxy:~$ host google.ru 10.0.1.187

Using domain server:
Name: 100.0.1.187
Address: 10.0.1.187#53
Aliases: 

google.ru has address 173.194.73.94
google.ru has IPv6 address 2a00:1450:4010:c0d::5e
google.ru mail is handled by 0 smtp.google.com.

admin@dnsproxy:~$ host rutorzzmfflzllk5.onion

rutorzzmfflzllk5.onion has address 172.30.0.165
rutorzzmfflzllk5.onion has IPv6 address feb7:c904:733c:691f:d722:3a78:be39:6ba5
Host rutorzzmfflzllk5.onion not found: 4(NOTIMP)

С рабочей станции

Cтатический маршрут к VirtualAddrNetwork

Если для заворота через нашу тор-машинку таковой не отдаётся 121 опцией DHCP или доменной политикой, можно прибить по месту врукопашную:

# ip r a 172.16.0.0/12 via 10.0.1.187

Для виндоклиента:

route add -p 172.16.0.0/12 10.0.1.187

Опросим кэш

[admin@it-1 ~]$ nslookup mail.ru

Server:         10.0.1.187
Address:        10.0.1.187#53

Non-authoritative answer:
Name:    mail.ru
Address: 94.100.180.200
Name:    mail.ru
Address: 94.100.180.201
Name:    mail.ru
Address: 217.69.139.200
Name:    mail.ru
Address: 217.69.139.202
Name:    mail.ru
Address: 2a00:1148:db00:0:b0b0::1

[admin@it-1 .ssh]$ nslookup rutordeepkpafpudl22pbbhzm4llbgncunvgcc66kax55sc4mp4kxcid.onion 10.0.1.187

Server:         10.0.1.187
Address:        10.0.1.187#53

Non-authoritative answer:
Name:    rutordeepkpafpudl22pbbhzm4llbgncunvgcc66kax55sc4mp4kxcid.onion
Address: 172.27.82.115
Name:    rutordeepkpafpudl22pbbhzm4llbgncunvgcc66kax55sc4mp4kxcid.onion
Address: fe93:82fe:e5a9:4bfb:f67f:e6f2:4d32:a62d

[admin@it-1 syntax]$ host flibustaongezhld6dibs2dps6vm4nvqg2kp7vgowbu76tzopgnhazqd.onion

flibustaongezhld6dibs2dps6vm4nvqg2kp7vgowbu76tzopgnhazqd.onion has address 172.26.245.219
flibustaongezhld6dibs2dps6vm4nvqg2kp7vgowbu76tzopgnhazqd.onion has IPv6 address feaa:c13c:7ad9:d676:f716:2990:6943:eaf8
Host flibustaongezhld6dibs2dps6vm4nvqg2kp7vgowbu76tzopgnhazqd.onion not found: 2(SERVFAIL)

Сходим браузером

Некоторые онион-ресурсы можно пооткрывать отсюда.

Постамбула: автопрокси

К блокируемым ресурсам не обязательно ломиться через браузерный прокси-плагин с каждой машинки, коль скоро есть вариант с ява-скриптовым автопрокси на всю контору — каковой и задействуем.

Веб-сервис

Поднять на нашем свежезапущенном тор-днс-прокси что-то простецкое типа lighttpd — настройки гуглятся.

Сценарий распределения

В корень веб-сервиса (к примеру, в /var/www/webapps/) положить файлик wpad.dat приблизительно следующего содержания, в дальнейшем по необходимости пополняя его другими блокируемыми сайтами:

/var/www/webapps/wpad.dat

function FindProxyForURL(url,host){
    if(shExpMatch(url,"*baza-knig.ru/*")       ||
       shExpMatch(url,"*.bookafan.website/*")  ||
       shExpMatch(url,"*bookzip.ru/*")         ||
       shExpMatch(url,"*.btmet.com/*")         ||
       shExpMatch(url,"*citilink.ru/*")        ||
       shExpMatch(url,"*fantasy-worlds.org/*") ||
       shExpMatch(url,"*flibusta.*/*")         ||
       shExpMatch(url,"*gmt-max.net/*")        ||
       shExpMatch(url,"*intoupload.net/*")     ||
       shExpMatch(url,"*kinobar.me/*")         ||
       shExpMatch(url,"*kinogo.la/*")          ||
       shExpMatch(url,"*kinosvit.tv/*")        ||
       shExpMatch(url,"*kinotazz.ru/*")        ||
       shExpMatch(url,"*.kritka.info/*")       ||
       shExpMatch(url,"*.linkedin.com/*")      ||
       shExpMatch(url,"*loveread.ec/*")        ||
       shExpMatch(url,"*mechanics-games.*/*")  ||
       shExpMatch(url,"*nnmclub.to/*")         ||
       shExpMatch(url,"*.onion/*")             ||
       shExpMatch(url,"*onion.live/*")         ||
       shExpMatch(url,"*piratam.net/*")        ||
       shExpMatch(url,"*rg-mechanics.*/*")     ||
       shExpMatch(url,"*rgmechanics.*/*")      ||
       shExpMatch(url,"*rutor*/*")             ||
       shExpMatch(url,"*.santehnika1.ru/*")    ||
       shExpMatch(url,"*seasonvar.ru/*")       ||
       shExpMatch(url,"*.semyanich.com/*")     ||
       shExpMatch(url,"*serialytut.me/*")      ||
       shExpMatch(url,"*skidrowcpy.com/*")     ||
       shExpMatch(url,"*.torgamez.com/*")      ||
       shExpMatch(url,"*torlock.cc/*")         ||
       shExpMatch(url,"*.torproject.org/*")    ||
       shExpMatch(url,"*torrent*/*")           ||
       shExpMatch(url,"*tracker.*/*")          ||
       shExpMatch(url,"*.underver.se/*")       ||
       shExpMatch(url,"*.vonos.net/*")         ||
       shExpMatch(url,"*weebly.com/*")         ||
       shExpMatch(url,"*xatab-repack*/*"))
         return "SOCKS5 10.0.1.187:9050; SOCKS 10.0.1.187:9050";
    else return "DIRECT";
}

Имя сервера

Для клиентов из локалки на внутреннем ДНСе сопоставить адресу нашего сервера имя/псевдоним вида wpad.наш.внутренний.домен.

Браузер, настроенный на автоопределение прокси-сервера, уже на этом шаге подтянет приведённый сценарий по ДНС (проверить действенность списка можно, прямо задав браузеру адрес http://wpad.наш.внутренний.домен/wpad.dat в пути к сценарию автонастройки).

Однако не помешает всё же добить настройку следующим пунктом.

Раздача прокси-скрипта

Указать в 252 опции DHCP адрес http://wpad.наш.внутренний.домен/wpad.dat, дабы дать знать клиентам в локалке, кто решает, что куда проксировать.

Примечания

↑ ^1,0 ^1,1
В Альте доступен пока только для Сизифа. Варианты обхода:
- Просто апнуть до оного контейнер (для цельной системы едва ли пригодно).
- Пересобрать пакет из сизифового .srpm.

Обратная связь

Системному администратору

[Sisyphus-1] 1,0 ^1,1 В Альте доступен пока только для Сизифа. Варианты обхода:
Просто апнуть до оного контейнер (для цельной системы едва ли пригодно).

Пересобрать пакет из сизифового .srpm.

[2] Просто апнуть до оного контейнер (для цельной системы едва ли пригодно).

[3] Пересобрать пакет из сизифового .srpm.

[1]