The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Возможно ли изменить src_addr с помощью VPN+внешний IP?"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Информационная безопасность (VPN, IPSec / Linux)
Изначальное сообщение [ Отслеживать ]

"Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel email(ok) on 24-Ноя-14, 21:27 
Доброго времени суток, помогите пожалуйста новичку!

Задача: Нужно чтобы сервер(с1) не знал что трафик к нему идет от сервера(с2).
с1 знает IP с2, поэтому надо как-то изменить заголовок пакетов. К настройкам с1 я доступа не имею, на с2 я могу прописать только адрес и порт куда ему послать трафик. Никаких настроек прокси и т.п. там нет. Все сервера и я находимся в разных странах.Я решил (возможно ошибся) что можно изменить src_addr пробросив трафик через себя, т.е. сказать с2 направлять трафик на мой внешний адрес, который я имею когда поднимаю VPN и переправлять пакеты на с1 через шлюз моего провайдера доступа в интернет(3G-modem). Но у меня ничего не выходит. Проброс трафика получается только если использовать шлюз VPN-a, но тогда нет смысла. Если я пробрасываю внешний IP на сайт который показывает IP (2ip.ru и т.п.) через шлюз VPN-a, то вижу тот-же IP,  как если бы я просто зашел на этот сайт без всяких пробросов. А надо чтоб показался адрес выданный мне 3G-провайдером.
Несколько дней рылся в гугле, но ничего подобного не нашел. Может этот вариант вообще тупиковый? Но как тогда решить задачу?

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 24-Ноя-14, 21:52 
>[оверквотинг удален]
> себя, т.е. сказать с2 направлять трафик на мой внешний адрес, который
> я имею когда поднимаю VPN и переправлять пакеты на с1 через
> шлюз моего провайдера доступа в интернет(3G-modem). Но у меня ничего не
> выходит. Проброс трафика получается только если использовать шлюз VPN-a, но тогда
> нет смысла. Если я пробрасываю внешний IP на сайт который показывает
> IP (2ip.ru и т.п.) через шлюз VPN-a, то вижу тот-же IP,
>  как если бы я просто зашел на этот сайт без
> всяких пробросов. А надо чтоб показался адрес выданный мне 3G-провайдером.
>  Несколько дней рылся в гугле, но ничего подобного не нашел. Может
> этот вариант вообще тупиковый? Но как тогда решить задачу?

http://www.opennet.ru/openforum/vsluhforumID10/4997.html

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel email(ok) on 24-Ноя-14, 22:55 

> http://www.opennet.ru/openforum/vsluhforumID10/4997.html

Спасибо за отклик!
Очень похожее находил на этом форуме. www.opennet.ru/openforum/vsluhforumID10/5058.html

Кароче то-же, только в профиль :)
Если шлюз по умолчанию 3G то также не работает, если шлюз туннеля то трафик проходит, но нет маскировки. whatsmyip.org показывает тот адрес с которого пошел запрос. А надо чтоб показал IP от 3G
  Не знаю уже как колдовать эти два шлюза :(

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

3. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 24-Ноя-14, 23:23 
>> http://www.opennet.ru/openforum/vsluhforumID10/4997.html
> Спасибо за отклик!
> Очень похожее находил на этом форуме. www.opennet.ru/openforum/vsluhforumID10/5058.html
> Кароче то-же, только в профиль :)
> Если шлюз по умолчанию 3G то также не работает, если шлюз туннеля
> то трафик проходит, но нет маскировки. whatsmyip.org показывает тот адрес с
> которого пошел запрос. А надо чтоб показал IP от 3G
>   Не знаю уже как колдовать эти два шлюза :(

Шлюзом должен быть ip который за 3G модемом.
Для изменения src_addr в пакете на интерфейсе который делает 3G модем нужно сделать SNAT или MASQUERADE и echo 1  > /proc/sys/net/ipv4/ip_forward для разрешения пересылки , а так же разрешить прохождение пакетов через firewall

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 25-Ноя-14, 11:37 

> Шлюзом должен быть ip который за 3G модемом.
> Для изменения src_addr в пакете на интерфейсе который делает 3G модем нужно
> сделать SNAT или MASQUERADE и echo 1  > /proc/sys/net/ipv4/ip_forward для
> разрешения пересылки , а так же разрешить прохождение пакетов через firewall

шлюз -3G

делал iptables -t nat -F перед этим:
iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j DNAT --to-destination 208.64.38.55:80
iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j SNAT --to-source 46.183.167.72

/proc/sys/net/ipv4/ip_forward  там уже 1

По файрволу - вроде ничего не блочится, систему только поставил. А вообще, как проверить?

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 25-Ноя-14, 11:57 
>[оверквотинг удален]
>> разрешения пересылки , а так же разрешить прохождение пакетов через firewall
> шлюз -3G
> делал iptables -t nat -F перед этим:
> iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j
> DNAT --to-destination 208.64.38.55:80
> iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j
> SNAT --to-source 46.183.167.72
> /proc/sys/net/ipv4/ip_forward  там уже 1
> По файрволу - вроде ничего не блочится, систему только поставил. А вообще,
> как проверить?

tcpdump -n -i vpn_интерфейс
tcpdump -n -i 3g_интерфейс

vpn поднят между с2 и домашней машиной или vpn-сервер это что-то отдельное в инете?
если отдельное проверте куда уходят ответы от с1, в туннель или к провайдеру 3g.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 25-Ноя-14, 12:29 
>[оверквотинг удален]
>> SNAT --to-source 46.183.167.72
>> /proc/sys/net/ipv4/ip_forward  там уже 1
>> По файрволу - вроде ничего не блочится, систему только поставил. А вообще,
>> как проверить?
> tcpdump -n -i vpn_интерфейс
> tcpdump -n -i 3g_интерфейс
> vpn поднят между с2 и домашней машиной или vpn-сервер это что-то отдельное
> в инете?
> если отдельное проверте куда уходят ответы от с1, в туннель или к
> провайдеру 3g.

c1 и с2 живут своими жизнями. могу повлиять только на с2 - поменять адрес и порт куда послать трафик и все (никаких прокси,тунелей и т.п.). туннель поднимаю для того чтоб у меня появился белый(внешний) адрес (46.183.167.72). Просто одна фирма в интернете за недорого дает туннель с внешним фиксированным адресом.

tcpdump -n -i 3g_интерфейс - показал кое-что интересное:
12:16:55.772562 IP 46.183.167.72.41384 > 208.64.38.55.80: Flags [S], seq 500676429, win 5840, options [mss 1400,sackOK,TS val 930035 ecr 0,nop,wscale 6], length 0
Т.е. трафик от моего внешнего адреса заворачивается в 3G. Но ответных пакетов от 208.64.38.55.80 на 3G че-то нет.
Как будто 208.64.38.55.80 отвечает на 46.183.167.72.41384 а не на адрес 3G?

tcpdump -n -i vpn_интерфейс -только это:
12:17:16.908450 IP 85.26.186.142.41393 > 46.183.167.72.800: Flags [S], seq 4170132631, win 5840, options [mss 1400,sackOK,TS val 935285 ecr 0,nop,wscale 6], length 0
85.26.186.142.41393 - это я захожу на свой внеш адрес с мегафон-смарта.
других пакетов - нет

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 25-Ноя-14, 12:55 
>[оверквотинг удален]
> поменять адрес и порт куда послать трафик и все (никаких прокси,тунелей
> и т.п.). туннель поднимаю для того чтоб у меня появился белый(внешний)
> адрес (46.183.167.72). Просто одна фирма за недорого дает туннель с внешним
> фиксированным адресом.
> tcpdump -n -i 3g_интерфейс - показал кое-что интересное:
> 12:16:55.772562 IP 46.183.167.72.41384 > 208.64.38.55.80: Flags [S], seq 500676429, win
> 5840, options [mss 1400,sackOK,TS val 930035 ecr 0,nop,wscale 6], length 0
> Т.е. трафик от моего внешнего адреса заворачивается в 3G. Но ответных пакетов
> от 208.64.38.55.80 на 3G че-то нет.
>  Как будто 208.64.38.55.80 отвечает на 46.183.167.72.41384 а не на адрес 3G?

в snat указываете ip который получаете при поднятии 3g, который на 3g_интерфейсе, а не от vpn

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 25-Ноя-14, 20:23 

> в snat указываете ip который получаете при поднятии 3g, который на 3g_интерфейсе,
> а не от vpn

тут Вы правы! Теперь я получаю ответный пакет от whatsmyip.org (208.64.38.55.80):
19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, options [nop,nop,TS val 245469957 ecr 7806294], length 0

192.168.2.101 - это мой 3G, просто он сейчас в рутер воткнут, но смысл не меняется. Ну а правила таковы:
iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j SNAT --to-source 192.168.2.101
iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j DNAT --to-destination 208.64.38.55:80


Подытожу:

1. сайчас уже пакет от мегафон-смартфона через внешний адрес попадает ко мне:
19:44:23.372858 IP 85.26.183.58.15622 > 46.183.167.72.800: Flags [S], seq 1383624355, win 5840, options [mss 1400,sackOK,TS val 7642829 ecr 0,nop,wscale 6], length 0

2. Я его отправляю на whatsmyip.org (208.64.38.55.80):
19:55:17.248090 IP 192.168.2.101.15624 > 208.64.38.55.80: Flags [S], seq 1734350540, win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length 0

3. whatsmyip.org (208.64.38.55.80) мне отвечает:
19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, options [nop,nop,TS val 245469957 ecr 7806294], length 0

4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от туннеля, а он сечас не дефолт.
Пожалуйста помогите замкнуть цепь!

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 25-Ноя-14, 20:47 
>[оверквотинг удален]
> 19:55:17.248090 IP 192.168.2.101.15624 > 208.64.38.55.80: Flags [S], seq 1734350540,
> win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length
> 0
> 3. whatsmyip.org (208.64.38.55.80) мне отвечает:
> 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535,
> options [nop,nop,TS val 245469957 ecr 7806294], length 0
> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае
> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от
> туннеля, а он сечас не дефолт.
> Пожалуйста помогите замкнуть цепь!

вы можете на vpn-сервере сделать snat на vpn интерфейсе?

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 25-Ноя-14, 21:15 
>[оверквотинг удален]
>> win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length
>> 0
>> 3. whatsmyip.org (208.64.38.55.80) мне отвечает:
>> 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535,
>> options [nop,nop,TS val 245469957 ecr 7806294], length 0
>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае
>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от
>> туннеля, а он сечас не дефолт.
>> Пожалуйста помогите замкнуть цепь!
> вы можете на vpn-сервере сделать snat на vpn интерфейсе?

врядли...
А если поднять виртуалку и на ней поднимать vpn ?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 25-Ноя-14, 21:26 
>[оверквотинг удален]
>>> 3. whatsmyip.org (208.64.38.55.80) мне отвечает:
>>> 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535,
>>> options [nop,nop,TS val 245469957 ecr 7806294], length 0
>>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае
>>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от
>>> туннеля, а он сечас не дефолт.
>>> Пожалуйста помогите замкнуть цепь!
>> вы можете на vpn-сервере сделать snat на vpn интерфейсе?
> врядли...
> А если поднять виртуалку и на ней поднимать vpn ?

тогда покаместь на домашней машине

route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

12. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 25-Ноя-14, 22:40 
>[оверквотинг удален]
>>>> options [nop,nop,TS val 245469957 ecr 7806294], length 0
>>>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае
>>>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от
>>>> туннеля, а он сечас не дефолт.
>>>> Пожалуйста помогите замкнуть цепь!
>>> вы можете на vpn-сервере сделать snat на vpn интерфейсе?
>> врядли...
>> А если поднять виртуалку и на ней поднимать vpn ?
> тогда покаместь на домашней машине
> route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера

Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !! Но судя по tcpdump - трафик идет как надо. Попробую, может для меня и так сойдет. Тaм не HTTP.
Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно ведь сработать?

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

13. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от reader (ok) on 25-Ноя-14, 23:36 
>[оверквотинг удален]
>>>>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае
>>>>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от
>>>>> туннеля, а он сечас не дефолт.
>>>>> Пожалуйста помогите замкнуть цепь!
>>>> вы можете на vpn-сервере сделать snat на vpn интерфейсе?
>>> врядли...
>>> А если поднять виртуалку и на ней поднимать vpn ?
>> тогда покаместь на домашней машине
>> route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера
> Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !!

85.26.183.58 это ip на устройстве с которого обращаетесь или на устройстве серый ip?

> Но судя по tcpdump - трафик идет как надо. Попробую, может
> для меня и так сойдет. Тaм не HTTP.
> Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно
> ведь сработать?

вместо vpn сервера? попробуйте, если на устройстве серый ip, то даже с http 85.26.183.58 не должен был появится, можете с помощью tcpdump посмотреть что именно было в данных пакетов

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

14. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"  +/
Сообщение от mexel (ok) on 26-Ноя-14, 09:11 
>[оверквотинг удален]
>> Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !!
> 85.26.183.58 это ip на устройстве с которого обращаетесь или на устройстве серый
> ip?
>> Но судя по tcpdump - трафик идет как надо. Попробую, может
>> для меня и так сойдет. Тaм не HTTP.
>> Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно
>> ведь сработать?
> вместо vpn сервера? попробуйте, если на устройстве серый ip, то даже с
> http 85.26.183.58 не должен был появится, можете с помощью tcpdump посмотреть
> что именно было в данных пакетов

85.26.183.58 это ip на устройстве с которого обращаюсь на белый адрес.
85.26.183.58 - серый внешний адрес(просто сим от мегафона стоит в смартфоне).
этот адрес также высвечивается если просто зайти со смартфона на whatsmyip.org

А ПК у которого vpn+белый ip - подключен к рутеру с 3G-модемом билайн. У самого 3G-модема билайн - внешний адрес тоже серый.

Я имел ввиду - поднять на ПК еще и виртуальную ОС и уже в ней поднимать VPN+белый IP. Чтоб не заниматься постоянным дописыванием статических маршрутов.

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру