forum.opennet.ru


Форум Настройка Squid, Tor и прокси серверов

Агрегация (объединение мелких пакетов) при туннелировании,

Олег Бартунов, (VPN) 28-Мрт-24, 19:13 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Имеется мобильный оператор, крайне не любящий высокий PPS, packet-per-second.
При этом порядка 90% траффика, который на данный момент роутится через openvpn/udp состоит из пакетов 64-128 байт.
Есть ли какие-либо варианты аггрегации мелких пакетов по достижению заданного размера или по таймауту?
По мотивам темы 10-летней давности https://www.linux.org.ru/forum/admin/10120422
Спустя 10 лет, что-то появилось, или отправят писать свой протокол?

Ответить | Сообщить модератору

Т е ты хочешь не только инкапсулировать пакеты в тоннель и шифровать, а еще и п, Pahanivo пробегал (?), 00:12 , 29-Мрт-24 (1)
> Имеется мобильный оператор, крайне не любящий высокий PPS, packet-per-second.
> При этом порядка 90% траффика, который на данный момент роутится через openvpn/udp
> состоит из пакетов 64-128 байт.
> Есть ли какие-либо варианты аггрегации мелких пакетов по достижению заданного размера или
> по таймауту?
Т.е. ты хочешь не только инкапсулировать пакеты в тоннель и шифровать, а еще и пересобирать их в цепочки?
Хм, имхо, из-за буферизации получится весьма рандомный джиттер бонусом к прочим доп. задержкам на обработку. Теперь у тебя вместо одного битого пакеты будет целая серия - круть, на забитом канале еще и всплеск повторных передач получить на tcp. Как при этом поведут себя реалтайм протоколы чувствительные к задержкам - думаю и Аллах не знает, но те же ip телефонисты могут тебя кастрировать за это тупым ножом, и будут, кстати, правы (а я так понимаю у тебя что-то реалтаймовское там ходит). Опять же оверхед от тоннеля никто не отменял.
> Спустя 10 лет, что-то появилось, или отправят писать свой протокол?
Может я что-то не догоняю с пакетной сети - но, имхо, концептуально это бред.
сообщить модератору +/– ответить

Можно попробовать переключить openvpn на tcp, и не вклюючать NO_DELAY Но как уж, Аноним (4), 00:58 , 01-Апр-24 (4)
Можно попробовать переключить openvpn на tcp, и не вклюючать NO_DELAY. Но как уже тут писали это приведет к возрасранию джиттера.
> Имеется мобильный оператор, крайне не любящий высокий PPS, packet-per-second.
> При этом порядка 90% траффика, который на данный момент роутится через openvpn/udp
> состоит из пакетов 64-128 байт.
> Есть ли какие-либо варианты аггрегации мелких пакетов по достижению заданного размера или
> по таймауту?
> По мотивам темы 10-летней давности https://www.linux.org.ru/forum/admin/10120422
> Спустя 10 лет, что-то появилось, или отправят писать свой протокол?
сообщить модератору +/– ответить
То есть ты хочешь собрать побольше P_CONTROL_V1, отправить их всей кучей, а пото, ACCA (ok), 22:22 , 01-Апр-24 (5)
То есть ты хочешь собрать побольше P_CONTROL_V1, отправить их всей кучей, а потом получить кучу P_ACK_V1.
Ну, так себе идея.
сообщить модератору +/– ответить
Вообще буквально так работает FreeBSD ipfw pipe, там буквально есть корзина, кот, zyxman (?), 07:57 , 02-Апр-24 (6) +1
> Есть ли какие-либо варианты аггрегации мелких пакетов по достижению заданного размера или
> по таймауту?
Вообще буквально так работает FreeBSD ipfw pipe, там буквально есть корзина, которая заполняется пакетами и освобождается, либо когда пакет задержан на сколько заказано, либо когда корзина переполнилась.
На практике, надо померять распределение траффика, посчитать сколько пакетов в секунду проходит сейчас и поделить на сколько хочется иметь и получится 1/(задержка в секундах).
Дальше это уже вопрос настройки VPN, который будет просто отправлять сразу блоком - главное что этими пайпами оно будет получать сразу вот этот блок.
В Линуксе это вобщем тоже можно сделать, но сильно менее удобно.
Я экспериментировал с этой штукой, но траффик через диверт вытаскивал в скрипт и там в скрипте делал нужные мне манипуляции, это делается через юсерспейс, поэтому небыстрая штука получилась, но так точно работает, это факт.
В принципе можно переписать на С++, а также там есть ebpf кажется расширение чтобы оно прямо в ядре работало, тогда без проблем любые скорости.
По сложности, это задача на пару дней.
Также подобным образом сортировал пакеты по размеру (чтобы маленькие проходили раньше больших).
Поначалу экспериментов ничего не вышло, тк просто не увидел вообще никакой сортировки, потому что по учебнику сделал очень маленькую корзину и очень маленькую задержку и оно вообще не задерживало и не сортировало.
Потом проанализировал мой траффик, сколько там был период между пакетами и сделал задержку и размер буфера (корзины) так чтобы за ее время в среднем десяток пакетов накапливалось, и тогда сразу всё поехало как заказал.
сообщить модератору +1 +/– ответить

Это уже интересно, спасибо Читаю handbook и мануал по ipwf и не нахожу ничего по, Олег Бартунов (?), 09:58 , 03-Апр-24 (7)
>> Есть ли какие-либо варианты аггрегации мелких пакетов по достижению заданного размера или
>> по таймауту?
> Вообще буквально так работает FreeBSD ipfw pipe, там буквально есть корзина, которая
> заполняется пакетами и освобождается, либо когда пакет задержан на сколько заказано,
> либо когда корзина переполнилась.
Это уже интересно, спасибо!
Читаю handbook и мануал по ipwf и не нахожу ничего похожего на корзину, только delay применяемый для каждого отдельного пакета.
Можешь ткнуть конкретно или привести некоторые правила от которых можно оттолкнуться?
А то чувствую себя хлебушком в freebsd, после 15 лет на debian.
Я правильно понимаю, что чтоб с обратной стороны не получать отдельные пакеты ответов, то надо с обоих сторон [freebsd>openvp] <канал> [openvpn<freebsd]
сообщить модератору +/– ответить

ipfw pipeТам в настройках конкретной трубы можно указать bw bandwidthdelay ms-de, zyxman (?), 02:00 , 04-Апр-24 (8) +1
> Читаю handbook и мануал по ipwf и не нахожу ничего похожего на
> корзину, только delay применяемый для каждого отдельного пакета.
ipfw pipe
Там в настройках конкретной трубы можно указать:
bw bandwidth
delay ms-delay
queue {slots | sizeKbytes}
я просто назвал корзиной буфер (тут он очередь).
> Можешь ткнуть конкретно или привести некоторые правила от которых можно оттолкнуться?
> А то чувствую себя хлебушком в freebsd, после 15 лет на debian.
Тут есть небольшая проблема, у меня сгорели все компы где еще был АТА а оно на старом диске. Но по памяти я нашел в интернетах пример (и чуток подправил для лучшей наглядности):
sudo ipfw pipe 1 config bw 15KByte/s
# creates a pipe that only allows up to 15KB/s to go through.
# Then:
sudo ipfw add 10 pipe 1 src-port 80
# will attach that pipe to the outgoing traffic on port 80, effectively limiting the outgoing traffic of the web server.
sudo ipfw delete 10
# will remove the pipe from the port.
https://gist.github.com/olegokunevych/8146412
> Я правильно понимаю, что чтоб с обратной стороны не получать отдельные пакеты
> ответов, то надо с обоих сторон [freebsd>openvp] <канал> [openvpn<freebsd]
Да и нет.
Диверт просто очень удобная фича bsd (freebsd, openbsd), оно просто создает сокет по правилу вида, диверт всего что идет в какой-то интерфейс (кроме tcp сокет такой-то, см далее), к нему есть стандартная либа, просто говоришь "подключиться к диверт номер такой-то" и функция будет получать на вход пакеты, которые та самая либа прям на блюдечке с голубой каемочкой, делаешь с ними что хочешь, потом по умолчанию в тот же диверт обратно отправляешь (если не отправишь просто получится drop и всё; если никто не будет слушать диверт, он просто будет всё дропать; и если надо, ты можешь создать свои пакеты и туда инжектировать).
Дальше, запускается две пары прог.
На удаленной bsd которая из диверта пакеты например в tcp канал копирует с простейшей инкапсуляцией (ну просто чтобы в потоке отдельные пакеты видеть, там какой-то эскейп символ сделать и его конечно маскировать если будет в пакетах встречаться и обратно демаскировать при инжектировании обратно в стек), на местной bsd прога из канала достает пакеты, обратно декапсулирует и в локальный диверт бросает.
Ну и вторая пара всё то же в обратном направлении делает.
Тонкость есть в чем, что если просто этими манипуляциями завернуть пакеты в tcp, он конечно постарается их буферизовать по максимуму, может и мегабайт в одном окне отправлять.
То есть нужно еще таймаут в прогу добавить на нашу задержку (на которую отконфигурили трубу) и по наступлению таймаута делать flush tcp.
Вот, tcp делается довольно просто, дальше можно по вкусу добавить например шифрование, я обычно тупо в ssh делаю проброс tcp сокета, оно довольно быстрое, у меня например самба несколько лет через такой канал жила.
ebpf идеологически то же, но программить сложнее, но там нет оверхеда на копирование в юсерспейс, поэтому заворачивалку отдельных пакетов в tcp лучше на ebpf сделать (на этапе tcp уже все оверхеды по барабану, оно и так медленное).
PS честно, я уже позже про netcat узнал, наверное им тоже можно так диверты пробрасывать, но я советовать не буду, мне проще эту прогу на десяток строк написать чем разбираться.
сообщить модератору +1 +/– ответить

Спасибо ещё раз Читаю мануал ipfw и dummynet и складывается понимание, что queue, Олег Бартунов (?), 22:03 , 06-Апр-24 (10)
Спасибо ещё раз.
Читаю мануал ipfw и dummynet и складывается понимание, что queue используется именно как некий буффер чтения, при заполненной полосе bw,
при переполнении которого пакеты просто отбрасываются, если не успевают проходить в bw, НО не как буффер для накопления перед отправкой,
который опустошается (в канал с учётом bw) при заполнении или по delay.
Или delay здесь не нужен так как он будет просто тормозить все пакеты и не связан с queue?
> The queue option sets the maximum amount of excess data (in packets or KBytes) that will be accepted before additional packets are refused.
Собственно, как именно это будет интерпретироваться, по сути мне только это и надо,
10.1.1.111 - tun0 в клиенте локальной freebsd, 10.1.1.1 - tun0 - внешнего сервера, тоже на freebsd.
ipfw add pipe 1 ip from 10.1.1.111/32 to 10.1.1.1/32 out
ipfw pipe 1 config bw 10Mbit/s queue 4KBytes delay 24ms
Если я правильно понял, то "queue 4KBytes delay 24ms" это (4096×8)×(1000÷24) = канал 1.3Мбит/с, что существенно ниже bw 10Mbit/s
Ещё вопрос, если это всё таки накопление перед отправкой, то имеет ли смысл сделать queue кратно mtu (mtu*2|4|8), и поиграть с разными mtu в openvpn?
PS, канал 1.3Мбит/с - это 21k pps для пакетов по 64 байта или 10k для пакетов 128 байт, либо примерно 910 pps для 1500
Или я где-то ошибаюсь?
сообщить модератору +/– ответить

Это КОРЗИНА, которая заполняется пришедшими пакетами со скоростью ограниченной b, zyxman (?), 01:32 , 07-Апр-24 (11)
> Спасибо ещё раз.
> Читаю мануал ipfw и dummynet и складывается понимание, что queue используется именно
> как некий буффер чтения, при заполненной полосе bw,
> при переполнении которого пакеты просто отбрасываются, если не успевают проходить в bw,
> НО не как буффер для накопления перед отправкой,
> который опустошается (в канал с учётом bw) при заполнении или по delay.
Это КОРЗИНА, которая заполняется пришедшими пакетами со скоростью ограниченной bw, то есть если будет приходить больше, будут отбрасываться сразу.
Далее, если суммарный размер пакетов находящихся в корзине с новым больше отконфигуренного размера, или если в корзине максимальное количество пакетов, новый пакет НЕ добавляется а отбрасывается.
Далее, если пакет таки попал в корзину, включается таймер и он там сидит до тех пор пока не закончится delay, как закончится delay отправляется дальше по ipfw и удаляется из корзины (освобождает место в корзине).
Проверка производится не в абстрактные моменты времени, а строго по тикам таймера, который по умолчанию в фре 6 был 50Гц, сейчас не знаю сколько, но на современных машинках можно спокойно ставить 1000Гц, это не очень высокая точность но техника переваривает не напрягаясь.
Да, за давностию лет я могу перепутать некоторые нюансы, типа в каком конце находится ограничитель скорости и тп, но логика по-моему точно такая.
То есть, если вы сделаете очень маленькие буфера, при очень большой скорости будет маленькая задержка В БУФЕРАХ, но часть пакетов будет отбрасываться; если сделать очень большие буфера, будет задержка большая.
Обычно есть некоторый оптимум задержки и потерь пакетов в таких шейперах, его нужно подбирать экспериментальным путем.
>> The queue option sets the maximum amount of excess data (in packets or KBytes) that will be accepted before additional packets are refused.
> Собственно, как именно это будет интерпретироваться, по сути мне только это и
> надо,
> 10.1.1.111 - tun0 в клиенте локальной freebsd, 10.1.1.1 - tun0 - внешнего
> сервера, тоже на freebsd.
> ipfw add pipe 1 ip from 10.1.1.111/32 to 10.1.1.1/32 out
ipfw add ДЭСЯТЬ pipe 1 ip from 10.1.1.111/32 to 10.1.1.1/32 out
номер правила забыли, он не назначается автоматом.
> ipfw pipe 1 config bw 10Mbit/s queue 4KBytes delay 24ms
> Если я правильно понял, то "queue 4KBytes delay 24ms" это (4096×8)×(1000÷24)
> = канал 1.3Мбит/с, что существенно ниже bw 10Mbit/s
Мудрить не стоит. В ядре используются очень простые, даже примитивные алгоритмы, за очень редким исключением, потому что сложные алгоритмы часто дают непредсказуемо большую задержку или используют много памяти.
Алгоритмы я выше привел. Разбирайтесь.
Если тяжело понять просто думая, это бывает, дело житейское, можно просто на листике ручкой или карандашом нарисовать табличку как оно будет жить - один тик таймера одна строка.
> Ещё вопрос, если это всё таки накопление перед отправкой, то имеет ли
> смысл сделать queue кратно mtu (mtu*2|4|8), и поиграть с разными mtu
> в openvpn?
Пробовать всегда полезно, только важно строго соблюдать правила техники безопасности (типа, не играть в пятницу после обеда, еще полезно добавить перезагрузку файрволла при потере соединения в некоторое заведомо рабочее состояние - в интернетах гуглится), ну тк несоблюдение неприятно, вы же вероятно не с соседним зданием этот канал делаете, будет неприятно если потеряете контроль над удаленным сервером.
> PS, канал 1.3Мбит/с - это 21k pps для пакетов по 64 байта
> или 10k для пакетов 128 байт, либо примерно 910 pps для
> 1500
> Или я где-то ошибаюсь?
perl -e 'print "".(1300000/8/64)."\n"'
2539.0625
perl -e 'print "".(1300000/8/1500)."\n"'
108.333333333333
Как говорится в классике - удачной охоты!
сообщить модератору +/– ответить

Локальная kvm freebsd, openvpnipfw add 10 pipe 1 udp from 10 11 9 21 to 10 11 9 , Олег Бартунов (?), 14:52 , 07-Апр-24 (12)
Локальная kvm freebsd, openvpn
ipfw add 10 pipe 1 udp from 10.11.9.21 to 10.11.9.1 out
ipfw pipe 1 config bw 2Mbit/s queue 4KBytes     # лимит выше 1Мбит (-b 1M), условно, без лимита
iperf3 -u -c 10.11.9.1 -b 1M -t -2 -l 64
[ ID] Interval           Transfer     Bitrate         Total Datagrams
[  5]   0.00-1.00   sec   122 KBytes   999 Kbits/sec  1952
[  5]   1.00-2.00   sec   122 KBytes  1000 Kbits/sec  1953
[  5]   2.00-3.00   sec   122 KBytes  1000 Kbits/sec  1953
[  5]   3.00-4.00   sec   122 KBytes  1000 Kbits/sec  1953
[  5]   4.00-5.00   sec   122 KBytes  1000 Kbits/sec  1953
[  5]   5.00-6.00   sec   122 KBytes  1000 Kbits/sec  1953
Хост debian, проверял pps как для vnet30, так и для wlan0
Количество пакетов в секунду одинаковое
tx 1 rx 1966 / pps on vnet30
tx 1 rx 1962 / pps on vnet30
tx 1 rx 1955 / pps on vnet30
tx 1 rx 1962 / pps on vnet30
tx 1 rx 1961 / pps on vnet30
tx 1958 rx 2 / pps on wlan0
tx 1961 rx 2 / pps on wlan0
tx 1955 rx 3 / pps on wlan0
tx 1964 rx 2 / pps on wlan0
tx 1954 rx 2 / pps on wlan0
Дополнительно, на хосте смотрел iptraf-ng на этих интерфейсах, и там всё те же пакеты, 58-112-192 байт, с тем же pps
С другой стороны, freebsd, openvpn
iperf3 -s
[ ID] Interval           Transfer     Bitrate         Jitter    Lost/Total Datagrams
[  5]   0.00-1.00   sec   107 KBytes   874 Kbits/sec  1.316 ms  0/1708 (0%)
[  5]   1.00-2.00   sec   122 KBytes  1.00 Mbits/sec  1.040 ms  0/1960 (0%)
[  5]   2.00-3.00   sec   120 KBytes   981 Kbits/sec  0.660 ms  0/1918 (0%)
[  5]   3.00-4.00   sec   124 KBytes  1.02 Mbits/sec  0.624 ms  0/1985 (0%)
[  5]   4.00-5.00   sec   122 KBytes   998 Kbits/sec  0.648 ms  0/1950 (0%)
[  5]   5.00-6.00   sec   122 KBytes   997 Kbits/sec  0.614 ms  0/1948 (0%)
[  5]   6.00-7.00   sec   122 KBytes  1.00 Mbits/sec  0.690 ms  0/1954 (0%)
[  5]   7.00-8.00   sec   124 KBytes  1.02 Mbits/sec  0.642 ms  0/1983 (0%)
[  5]   8.00-9.00   sec   121 KBytes   991 Kbits/sec  0.835 ms  0/1937 (0%)
[  5]   9.00-10.00  sec   121 KBytes   994 Kbits/sec  1.394 ms  0/1942 (0%)
[  5]  10.00-11.00  sec   124 KBytes  1.02 Mbits/sec  0.666 ms  0/1984 (0%)
[  5]  11.00-12.00  sec   122 KBytes   998 Kbits/sec  0.614 ms  0/1949 (0%)
[  5]  11.00-12.00  sec   122 KBytes   998 Kbits/sec  0.614 ms  0/1949 (0%)
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate         Jitter    Lost/Total Datagrams
[SUM]  0.0-12.0 sec  31 datagrams received out-of-order
[  5]   0.00-12.00  sec  1.53 MBytes  1.07 Mbits/sec  0.705 ms  0/25053 (0%)  receiver
Таким образом, с лимитом (bw 2Mbit/s) выше указанного в iperf (-b 1M) 1952 пакета в секунду проходят без потерь, и без объединения.

Локальная freebsd:
ipfw pipe 1 delete
ipfw pipe 1 config bw 512Kbit/s queue 24KBytes delay 24ms
iperf3 -u -c 10.11.9.1 -b 1M -t -2 -l 64
[ ID] Interval           Transfer     Bitrate         Total Datagrams
[  5]   0.00-1.00   sec   122 KBytes   999 Kbits/sec  1952
[  5]   1.00-2.00   sec   122 KBytes  1000 Kbits/sec  1953
[  5]   2.00-3.00   sec   122 KBytes  1000 Kbits/sec  1953

С другой стороны, ожидаемо:
[  5]  17.02-18.00  sec  54.4 KBytes   457 Kbits/sec  2.635 ms  1571/2442 (64%)
[  5]  18.00-19.00  sec  43.8 KBytes   358 Kbits/sec  1.519 ms  1271/1971 (64%)
[  5]  19.00-20.00  sec  43.5 KBytes   356 Kbits/sec  2.505 ms  1257/1953 (64%)
[  5]  19.00-20.00  sec  43.5 KBytes   356 Kbits/sec  2.505 ms  1257/1953 (64%)
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate         Jitter    Lost/Total Datagrams
[  5]   0.00-20.00  sec   882 KBytes   361 Kbits/sec  2.566 ms  24773/38887 (64%)  receiver
Локальный хост:
tx 1 rx 697 / pps on vnet30
tx 1 rx 703 / pps on vnet30
tx 1 rx 703 / pps on vnet30
То есть, я просто получю шейпер.
При разных вариантах очереди, таймаута, полосы, получается шейпер.
Всё работает логично и правильно, и тут не должно быть никаких объединений нескольких мелких пакетов в один mtu.
Так у меня изначальный вопрос был, есть ли возможность объединить в канале, например, openvpn мелкие пакеты, снизив внешний pps?
сообщить модератору +/– ответить

gt оверквотинг удален Всё логично, это императивный подход, теперь надо в явно, zyxman (?), 20:09 , 07-Апр-24 (13)
>[оверквотинг удален]
> ipfw add 10 pipe 1 udp from 10.11.9.21 to 10.11.9.1 out
> ipfw pipe 1 config bw 2Mbit/s queue 4KBytes
> # лимит выше 1Мбит (-b 1M), условно, без лимита
> iperf3 -u -c 10.11.9.1 -b 1M -t -2 -l 64
> То есть, я просто получю шейпер.
> При разных вариантах очереди, таймаута, полосы, получается шейпер.
> Всё работает логично и правильно, и тут не должно быть никаких объединений
> нескольких мелких пакетов в один mtu.
> Так у меня изначальный вопрос был, есть ли возможность объединить в канале,
> например, openvpn мелкие пакеты, снизив внешний pps?
Всё логично, это императивный подход, теперь надо в явном виде завернуть пакеты в диверт сокет и пару программ, одна будет клиент, вторая сервер, одна будет пакеты из диверта отправлять в tcp сокет, а вторая получать со своей стороны и в свой диверт вкладывать.
сообщить модератору +/– ответить
PS кстати, простой скрипт на перле, думаю до тысяч 50 пакетов на современной маш, zyxman (?), 20:11 , 07-Апр-24 (14)

> Так у меня изначальный вопрос был, есть ли возможность объединить в канале,
> например, openvpn мелкие пакеты, снизив внешний pps?
PS кстати, простой скрипт на перле, думаю до тысяч 50 пакетов на современной машинке потянет, ну точно заметно больше 1500.
сообщить модератору +/– ответить
вот набор ссылок по теме спрашивайте тут только не надо читать умняк насчет пол, zyxman (?), 20:32 , 07-Апр-24 (15)

> Так у меня изначальный вопрос был, есть ли возможность объединить в канале,
> например, openvpn мелкие пакеты, снизив внешний pps?
вот набор ссылок по теме. спрашивайте.
тут только не надо читать умняк насчет полностью эмулировать tcp, ничего мы эмулировать не будем, у нас два сокета будет занято (один туда, второй сюда), мы их НЕ будем дивертить а всё остальное будем:
https://www.opennet.ru/base/net/fire.txt.html
https://forum.lissyara.su/freebsd-f8/ipfw-divert-t5511.html
https://man.freebsd.org/cgi/man.cgi?query=divert&sektion=4&a...
https://man.freebsd.org/cgi/man.cgi?query=Net::Divert&sektio...
сообщить модератору +/– ответить

доступ к tor через sslh ,

xoid, (Socks) 22-Ноя-23, 18:19 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

запустил tor демон на lo:9050 (протокол socks5) и он работает, скачивает все сайты.
curl -vL --socks5 127.0.0.1:9050 bbc.com # успешно скачивает запрещенный BBC
Портов, кроме 443, открытых из интернета, на этом сервере не имею из-за настроек сети. 443 нужен для https.
Настроил мультиплексирование протоколов через sslh - он слушает 443 и если ему попадается обращение клиента socks5, перенаправляет его на lo:9050
на сервере tor это работает, например
curl -vL --socks5 %tor-server-ip%:443 bbc.com # успешно скачивает запрещенный bbc через SSLH и TOR
Теперь с моего домашнего компа:
curl -vL --socks5 %tor-server-ip%:443 ya.ru # успешно скачивает страницы яндекса по https.
однако, bbc.com и прочую запрещенку не качает, останавливается на SSL рукопожатии и висит:
# curl -vL --socks5 %tor-server-ip%:443 https://bbc.com/
*   Trying %tor-server-ip%:443...
* Connected to %tor-server-ip% (%tor-server-ip%) port 443
* SOCKS5 connect to 151.101.192.81:443 (locally resolved)
* SOCKS5 request granted.
* Connected %tor-server-ip% (%tor-server-ip%) port 443
* ALPN: curl offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs
использование ALL_PROXY='socks5h://%tor-server-ip%:443' для того чтобы curl ресолвил сайты через socks5 не помогает, с ресолвингом всё в порядке.
Каким образом SSLH может ломаться на запрещенных сайтах на этапе https?

Ответить | Сообщить модератору

Скрыто модератором, Аноним (-), 20:06 , 22-Ноя-23 (1) [---]
у тебя ломается либо твой домашний DNS, либо DPI заглядывает в SOCKS5 или SNI. ты обманул сам себя.
сообщить модератору +/– ответить
Конфиг SSLH покажи, Аноним (2), 09:31 , 23-Ноя-23 (2)
> Каким образом SSLH может ломаться на запрещенных сайтах на этапе https?
Конфиг SSLH покажи
сообщить модератору +/– ответить
SOCKS5 - незащищенный протокол Тор на удаленном сервере через недоверенную сеть, Аноним (3), 16:51 , 23-Ноя-23 (3)
SOCKS5 - незащищенный протокол. Тор на удаленном сервере через недоверенную сеть - бессмысленное решение.
сообщить модератору +/– ответить

О чем ты говоришь Человек через TOR русскую службу ББС читает кстати, я тоже , Аноним (2), 21:04 , 23-Ноя-23 (4)
О чем ты говоришь?
Человек через TOR русскую службу ББС читает (кстати, я тоже)
сообщить модератору +/– ответить

Ссылка BBC в onionhttps www bbcweb3hytmzhn5d532owbu6oqadra5z3ar726vq5kgwwn6auc, Аноним (2), 21:06 , 23-Ноя-23 (5)
Ссылка BBC в onion
https://www.bbcweb3hytmzhn5d532owbu6oqadra5z3ar726vq5kgwwn6a...

сообщить модератору +/– ответить
Да вот блин над такими чтецами могут плоско поприкалываться, те же майоры наприм, Аноним (6), 00:10 , 26-Ноя-23 (6)
> О чем ты говоришь? Человек через TOR русскую службу ББС читает (кстати, я тоже)
Да вот блин над такими чтецами могут плоско поприкалываться, те же майоры например. Если траф между tor socks <-> client идет по незащищенному линку, это полнейший залет, позволяющий перехватывать трафик, а DPI сто лет как умеют протоколы прокси, включая и сокс5, рюхать.
сообщить модератору +/– ответить

Хватит истерить Включи лучше мозги Трафик внутри незащищенного socks - client, Аноним (2), 14:22 , 26-Ноя-23 (8)
> Если траф между tor socks <-> client идет по незащищенному
> линку, это полнейший залет, позволяющий перехватывать трафик
Хватит истерить. Включи лучше мозги.
Трафик внутри незащищенного socks <-> client уже идет зашифрованный. Я даже ссылку выложил:
https://.....
сообщить модератору +/– ответить

Он не идёт зашифрованным Во-первых, через SOCKS видно содержимое То есть, ip-а, Аноним (-), 08:26 , 27-Ноя-23 (10)
>> Если траф между tor socks <-> client идет по незащищенному
>> линку, это полнейший залет, позволяющий перехватывать трафик
> Хватит истерить. Включи лучше мозги.
> Трафик внутри незащищенного socks <-> client уже идет зашифрованный. Я даже ссылку
> выложил:
> https://.....
Он не идёт зашифрованным. Во-первых, через SOCKS видно содержимое. То есть, ip-адрес в заголовках socks уже есть и его может читать DPI. На этом IP зарегистрирован только один вражеский BBC и больше ничего. Это уже основание для бана.
Дальше, твоё HTTPS держит в себе заголовки SNI, которые вроде ещё пока передаются нешифрованными, это тоже бан. Если у тебя ESNI - это тоже бан у некоторых операторов.
Все соединения наружу этой страны должны шифроваться или обфусцироваться, у тебя есть слабое звено - socks. Он нешифрованный и его можно резать на DPI.
сообщить модератору +/– ответить

Ты совсем не понимаешь как работает TOR Сходи на https support torproject org , Аноним (2), 09:38 , 27-Ноя-23 (11)
Ты совсем не понимаешь как работает TOR.
Сходи на https://support.torproject.org/ru/https/https-1/. Там есть слегка упрощенная, но более-менее понятная для "чайников" картинка, как устроен и работает TOR.
> На этом IP зарегистрирован только один вражеский BBC и больше ничего.
www.bbcweb3hytmzhn5d532owbu6oqadra5z3ar726vq5kgwwn6aucdccrad.onion не имеет IP и не резолвится в DNS. Внутри TOR нет DNS, а используются другие принципы адресации.
> слабое звено - socks. Он нешифрованный и его можно резать
Вход в сеть TOR реализован по протоколу socks5. "Дилетанты" из TorProject забыли проконсультироваться с тобой на предмет обеспечения анонимности и безопасности.
>его можно резать на DPI
Внутри TOR, by desing, ни чего резать принципиально не возможно. Ни какой DPI не сможет заблокировать www.bbcweb3hytmzhn5d532owbu6oqadra5z3ar726vq5kgwwn6aucdccrad.onion. Единственный вариант: заблокировать целиком TOR (некоторые операторы уже пытаются это делать от безысходности)
Вывод один: в школу, за парту.
сообщить модератору +/– ответить

Тебя в строках с шапкиничего не смущает Читаем man torrc NOTE Although this opt, Аноним (-), 11:41 , 28-Ноя-23 (12)
Тебя в строках с шапки
>curl -vL --socks5 %tor-server-ip%:443 ya.ru
>curl -vL --socks5 %tor-server-ip%:443 https://bbc.com/
ничего не смущает?
>"Дилетанты" из TorProject забыли проконсультироваться с тобой на предмет обеспечения анонимности и безопасности.
Читаем man torrc:
NOTE: Although this option allows you to specify an IP address other than localhost, you should do so only with extreme caution. The SOCKS protocol is unencrypted and (as we use it) unauthenticated, so exposing it in this way could leak your information to anybody watching your network, and allow anybody to use your computer as an open proxy.
Перевести, надеюсь, сможешь? Значение слова unencrypted понимаешь? Почему там слова extreme caution, доходит? С командой из шапки и контекстом того, что SOCKS виден РКН, потому что он unencrypted, никаких коллизий не наблюдается?
сообщить модератору +/– ответить

Ну подумаешь мелочи какие - можно полностью MITMить любой трафик от и до, как уг, Аноним (13), 08:55 , 02-Дек-23 (13)
> Перевести, надеюсь, сможешь? Значение слова unencrypted понимаешь? Почему там слова extreme
> caution, доходит? С командой из шапки и контекстом того, что SOCKS
> виден РКН, потому что он unencrypted, никаких коллизий не наблюдается?
Ну подумаешь мелочи какие - можно полностью MITMить любой трафик от и до, как угодно :). И да, DPI таки рюхают socks5 и в вон том случае - может на раз видеть что гражданин просил "bbc.com" а не что-то еще. Это одно из самых глупых использований tor которые можно придумать.
Если хочется tor на ремоте крутить до него надо пробросить секурный тонель/впн и сокс5 пускать уже внутри него. Иначе это не решение проблемы а скорее ее создание.
сообщить модератору +/– ответить

Скрыто модератором, Аноним (-), 08:00 , 27-Ноя-23 (9) [---]
> русскую службу ББС читает
Так это отягчающее. А он это через голый сокс читает - это самосдача.
сообщить модератору +/– ответить

Шадоусоксы какие возьмите, чтоли, клиент будет комплеить тор, но пробросит уже п, Аноним (6), 00:12 , 26-Ноя-23 (7)
> SOCKS5 - незащищенный протокол. Тор на удаленном сервере через недоверенную сеть
> - бессмысленное решение.
Шадоусоксы какие возьмите, чтоли, клиент будет комплеить тор, но пробросит уже по шифрованому соединению. DPI его не палит, даже китайский.
сообщить модератору +/– ответить

Быстрый VPN,

Дмитрий, (VPN) 12-Сен-18, 23:03 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Дорогой Опеннет!
Подскажи, как VPN провайдеры организуют свою сеть, чтобы трафик ходил наиболее оптимальным способом?
Предположим, есть клиент из России, ему нужно "выпрыгнуть" в Штатах.
Схема #1
Имеем один сервер в Штатах (выходная нода) с OpenVPN.
Клиент подключается к серверу в Штатах напрямую по OpenVPN, на нем натится и выпригивает в интернет. Все просто.
Схема #2
Имеем два сервера: один в России (входная нода) с OpenVPN, поближе к одной из точек обмена трафиком, и произвольный сервер в Штатах(выходная нода), они объеденены в одну сеть средствами Tinc VPN.
Кслиет подключается к входной точке по OpenVPN, трафик роутится до сервера в Штатах, там натится и выпрыгивает в интернет.
Какая из этих двух схем наиболее оптимальна с точки срения скорости сети и почему?

Ответить | Сообщить модератору

Никакая нет никакой информации об аплинках клиента, сервера и точки обмена, марш, Аноним (1), 07:53 , 13-Сен-18 (1)
> Какая из этих двух схем наиболее оптимальна с точки срения скорости сети
> и почему?
Никакая.
нет никакой информации об аплинках клиента, сервера и точки обмена, маршрутах прохождения трафика между ними, и гарантий, что даже если сегодня одна из схем выгодна во всех отношениях, то такое положение сохранится и завтра.
сообщить модератору +/– ответить

Предположим, аплинк клиента это крупный телеком в Москве, пусть это будет Qwerty, Дмитрий (??), 13:33 , 13-Сен-18 (2)
>> Какая из этих двух схем наиболее оптимальна с точки срения скорости сети
>> и почему?
> Никакая.
> нет никакой информации об аплинках клиента, сервера и точки обмена, маршрутах прохождения
> трафика между ними, и гарантий, что даже если сегодня одна из
> схем выгодна во всех отношениях, то такое положение сохранится и завтра.
Предположим, аплинк клиента это крупный телеком в Москве, пусть это будет Qwerty, входная нода где-то поближе к MSK-IX.
Я исхожу из предположения, что телекомы режут внешний трафик, особенно на дешевых тарифах.
Поэтому трафик в Штаты через свой сервер на MSK-IX будет быстрее.
Насколько это предположение верно?
сообщить модератору +/– ответить

Я предполагаю, что вся необходимая информация для анализа и ответа у вас есть на, Аноним (1), 14:47 , 13-Сен-18 (3)
> Насколько это предположение верно?
Я предполагаю, что вся необходимая информация для анализа и ответа у вас есть на руках, но вы почему-то хотите, чтобы этот анализ за вас провели другие, да еще и на абстрактных примерах.

сообщить модератору +/– ответить

Прежде чем строить эту схему, хотелось бы узнать мнение опытных людей, логично л, Дмитрий (??), 15:46 , 13-Сен-18 (4)
>> Насколько это предположение верно?
> Я предполагаю, что вся необходимая информация для анализа и ответа у вас
> есть на руках, но вы почему-то хотите, чтобы этот анализ за
> вас провели другие
Прежде чем строить эту схему, хотелось бы узнать мнение опытных людей, логично ли использовать промежуточный сервер.
> да еще и на абстрактных примерах.
Вроде я привел максимально конкретный пример, какие еще вводные данные нужны?
сообщить модератору +/– ответить

Вам нужно сесть и почитать что нить по устройству сети Но, вы можете поставить, ыы (?), 17:01 , 13-Сен-18 (5)
>>> Насколько это предположение верно?
>> Я предполагаю, что вся необходимая информация для анализа и ответа у вас
>> есть на руках, но вы почему-то хотите, чтобы этот анализ за
>> вас провели другие
> Прежде чем строить эту схему, хотелось бы узнать мнение опытных людей, логично
> ли использовать промежуточный сервер.
>> да еще и на абстрактных примерах.
> Вроде я привел максимально конкретный пример, какие еще вводные данные нужны?
Вам нужно сесть и почитать что нить по устройству сети...
Но, вы можете поставить прямой эксперимент- сделать подключение тем и другим способом.
Сравнить результирующий пинг между конечными точками. если вас не интересует QoS и другие параметры канала.
сообщить модератору +/– ответить
Иногда да, иногда нет Например, сегодня стоимость маршрута от А к B выше, чем у, Аноним (6), 18:29 , 13-Сен-18 (6)
> Прежде чем строить эту схему, хотелось бы узнать мнение опытных людей, логично
> ли использовать промежуточный сервер.
Иногда да, иногда нет. Например, сегодня стоимость маршрута от А к B выше, чем у маршрута A - C - D - B, и вам, естественно, выгодно использовать промежуточный сервер в AS С. А завтра на магистрали случится авария, и трафик пойдет так - A - C - X -Y - D - B, а через неделю в С решат, что лучше с D им общаться через M - N, и вся выгода от сервака в С для вас пропадет...
>> да еще и на абстрактных примерах.
> Вроде я привел максимально конкретный пример, какие еще вводные данные нужны?
Никакие. Не заморачивайтесь, здесь не получится получить однозначное преимущество.

сообщить модератору +/– ответить

А в 2020 году еще неплохо б вайргада освоить , Аноним (8), 02:30 , 21-Фев-20 (8)
А в 2020 году еще неплохо б вайргада освоить :)
сообщить модератору +/– ответить
Другими словами что лучше Гнать каждого пользователя отдельно или соединить и г, Аноним (10), 17:47 , 08-Июл-23 (10)
Другими словами что лучше. Гнать каждого пользователя отдельно или соединить и гнать их одной толстой трубой?
Если Вы даже получите прибавку в к сорости, будут потери на доп. ресурсы сервера и т.д. Также не стоит забывать про надежность. Получается допольнительная единая точка отказа. Но есть и плюсы клиенты ходят близко, вероятность отказа тут снижается.
Идея интересная, но надо что сделать с отказом и распределнием нагружки для вход. VPN.
сообщить модератору +/– ответить

Маршрутизация трафика на основе сервера назначения из заголовка,

FragMaster, (Разное) 10-Окт-22, 14:54 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Есть: приложение, пускай будет 1С:Розница, оно может обращаться к интернет ресурсам, например, api банков, других гос организаций и т.д. через интернет. Приложение обслуживает 2 юр лица.
Задача:
Хочется чтобы каждое юр лицо использовало свой интернет для связи со всем внешними миром(эквайринг, какие-то api, ОФД и т.д)
Например, 1 комп с приложением обслуживает 2 юр лица и имеет 2 LAN порта, в каждый будет воткнут свой роутер для внешнего инета, все запросы на все внешние ресурсы от одного юр лица должны будут ходить по Lan1, все запросы от другого юр лица должны будут ходить через Lan2. Т.е. для внешних сайтом это будет выглядеть, как 2 независимых друг от друга компа.
Пример с 2 LAN портами не является обязательной реализацией и приведен для простоты описания, вместо этого может использоваться 1 роутер с каким-то ПО.
Основные проблемы, которые я вижу:
- ККТ выгружает в ОФД чеки через usb over Ethetnet
- эквайринговые терминал через usb over Ethetnet
- всякие шлюзы оплаты, с которыми приложение взаимодействует(оплата по qr, api банка и т.д.)
Вопрос:
Возможна ли реализация работы данного кейса?
Если да, то с помощью каких тех средств?

Ответить | Сообщить модератору

https habr com ru post 108690 Создаёте отдельную таблицу маршрутизации и напра, Аноним (1), 19:14 , 10-Окт-22 (1)
https://habr.com/ru/post/108690/
Создаёте отдельную таблицу маршрутизации и направляете в неё трафик на основе IP назначения:
ip rule add to 1.1.1.1/32 table ...
Ну и маршрут по умолчанию в этой новой таблице прописать не забудьте.
сообщить модератору +/– ответить

Если исходить из твоего заголовка сервера назначения - то всё просто Если они, shadow_alone (ok), 19:17 , 10-Окт-22 (2)
Если исходить из твоего заголовка "сервера назначения" - то всё просто. Если они они ходят на разные api - то есть, первый клиент на свои, второй на свои только и ничего не пересекается, то это решается простой маршрутизацией, даже если разрулить надо по имени назначения (решается маркировкой пакетов по SNI).
А вот если они ходят на одни и те же ресурсы, вот тут, наверное НЕТ - потому что твой 1С точно не может метить пакеты.
сообщить модератору +/– ответить

Все верно, приложение обслуживает 2 юр лица и ходить они могут на один и тот же , FragMaster (ok), 19:59 , 10-Окт-22 (6)
> Если исходить из твоего заголовка "сервера назначения" - то всё просто. Если
> они они ходят на разные api - то есть, первый клиент
> на свои, второй на свои только и ничего не пересекается, то
> это решается простой маршрутизацией, даже если разрулить надо по имени назначения
> (решается маркировкой пакетов по SNI).
> А вот если они ходят на одни и те же ресурсы, вот
> тут, наверное НЕТ - потому что твой 1С точно не может
> метить пакеты.
Все верно, приложение обслуживает 2 юр лица и ходить они могут на один и тот же IP.
Требуется, чтобы запрос от одного юр лица с этого приложения шел через одного провайдера, а запрос от другого юр лица - через другого
сообщить модератору +/– ответить

gt оверквотинг удален все зависит от вашего приложения, можно ли его настрой, Сергей (??), 22:27 , 10-Окт-22 (7) +1
>[оверквотинг удален]
>> на свои, второй на свои только и ничего не пересекается, то
>> это решается простой маршрутизацией, даже если разрулить надо по имени назначения
>> (решается маркировкой пакетов по SNI).
>> А вот если они ходят на одни и те же ресурсы, вот
>> тут, наверное НЕТ - потому что твой 1С точно не может
>> метить пакеты.
> Все верно, приложение обслуживает 2 юр лица и ходить они могут на
> один и тот же IP.
> Требуется, чтобы запрос от одного юр лица с этого приложения шел через
> одного провайдера, а запрос от другого юр лица - через другого
все зависит от вашего приложения, можно ли его настройки привязать на 2-а разных локальных адреса к примеру либо прописать на разные прокси, то бишь порты, если этого нет, то мне кажется никак...

сообщить модератору +1 +/– ответить

Приложение можно доработать, чтобы оно выбирало нужный прокси, в зависимости от , FragMaster (ok), 10:51 , 11-Окт-22 (8)
> все зависит от вашего приложения, можно ли его настройки привязать
> на 2-а разных локальных адреса к примеру либо прописать на
> разные прокси, то бишь порты, если этого нет, то мне кажется
> никак...
Приложение можно доработать, чтобы оно выбирало нужный прокси, в зависимости от юр лица.
Я в надежде, что может быть еще какая-то магия есть, кроме проксей =)
сообщить модератору +/– ответить

Инфостарт кончился, а пиво походу еще нет Мне не очень понятна необходимость , ыы (?), 11:37 , 11-Окт-22 (9) +1
>>   все зависит от вашего приложения, можно ли его настройки привязать
>> на 2-а разных локальных адреса к примеру  либо прописать на
>> разные прокси, то бишь порты, если этого нет, то мне кажется
>> никак...
> Приложение можно доработать, чтобы оно выбирало нужный прокси, в зависимости от юр
> лица.
> Я в надежде, что может быть еще какая-то магия есть, кроме проксей
> =)
Инфостарт кончился, а пиво походу еще нет  :)
Мне не очень понятна необходимость держать два юрлица с одной базе. Они же не могут пользоваться одними и теми же счетами. И лицензии так сэкономить нельзя.
Можно запустить на одной и той же серверной лицензии две базы (два сервера) от разных юзеров и управлять этими процессами как это принято в ОС.
сообщить модератору +1 +/– ответить

Бизнес логика не позволяет так сделать Там обмены, перепродажи и т д , FragMaster (ok), 09:11 , 12-Окт-22 (12)
> Мне не очень понятна необходимость держать два юрлица с одной базе. Они
> же не могут пользоваться одними и теми же счетами. И лицензии
> так сэкономить нельзя.
> Можно запустить на одной и той же серверной лицензии две базы (два
> сервера) от разных юзеров и управлять этими процессами как это принято
> в ОС.
Бизнес логика не позволяет так сделать... Там обмены, перепродажи и т.д.
сообщить модератору +/– ответить

Ну, пусть переопределяют логику, или смиряются с тем что всем видно что они в од, Licha Morada (ok), 21:31 , 12-Окт-22 (14)

> Бизнес логика не позволяет так сделать... Там обмены, перепродажи и т.д.
Ну, пусть переопределяют логику, или смиряются с тем что всем видно что они в одном и том-же доме живут.
сообщить модератору +/– ответить
Ну, если бизнес логика не позволяет двум разным юрлицам вести учет в двух разных, ыы (?), 20:11 , 13-Окт-22 (17) +1
>> Мне не очень понятна необходимость держать два юрлица с одной базе. Они
>> же не могут пользоваться одними и теми же счетами. И лицензии
>> так сэкономить нельзя.
>> Можно запустить на одной и той же серверной лицензии две базы (два
>> сервера) от разных юзеров и управлять этими процессами как это принято
>> в ОС.
> Бизнес логика не позволяет так сделать... Там обмены, перепродажи и т.д.
Ну, если бизнес логика не позволяет двум разным юрлицам вести учет в двух разных программах... то тут дело безусловно в логике. только не в "бизнес ... ", а в просто ...
В 1С прекрасно все с обменами. Внешние источники данных, ODBC, вызовы данных через REST сервисы, выгрузки-загрузки через файлы... Настроить автоматический обмен данными между двумя разными системами 1С - вообще не проблема.
Мне реально не понятна необходимость держать два юрлица с одной базе.
сообщить модератору +1 +/– ответить

Купить на барахолке роутеры по 500 рублей на провайдер , Аноним (10), 08:19 , 12-Окт-22 (10)
Купить на барахолке роутеры по 500 рублей на провайдер.
сообщить модератору +/– ответить

В принципе, да, но нетривиально Если это запросы ТОЛЬКО по http https, и юр-лица, Licha Morada (ok), 21:24 , 12-Окт-22 (13)

> Возможна ли реализация работы данного кейса?
В принципе, да, но нетривиально.
> Если да, то с помощью каких тех средств?
Если это запросы ТОЛЬКО по http/https, и юр-лица можно явно отличить друг от друго по хедеру запроса, то можно хитро настроить прокси, например squid.
Если это запросы вообще, то всё упирается в то как отличать одно от другого, в формате понятном дле принятия решения о маршрутизации. Как я понимаю, если бюджет позволяет, то это можно сделать с помощью DPI и реверс-инжениринга протоколов каждого из использующихся приложений.
А практически, лучше не связывайтесь. В качестве мысленного эксперимента сойдёт, или если есть хобби на предмет "покопаться".
сообщить модератору +/– ответить

gt оверквотинг удален Я вот тоже жизнеспособного варианта кроме прокси не вижу, FragMaster (ok), 08:46 , 13-Окт-22 (15)
>[оверквотинг удален]
>> Если да, то с помощью каких тех средств?
> Если это запросы ТОЛЬКО по http/https, и юр-лица можно явно отличить друг
> от друго по хедеру запроса, то можно хитро настроить прокси, например
> squid.
> Если это запросы вообще, то всё упирается в то как отличать одно
> от другого, в формате понятном дле принятия решения о маршрутизации. Как
> я понимаю, если бюджет позволяет, то это можно сделать с помощью
> DPI и реверс-инжениринга протоколов каждого из использующихся приложений.
> А практически, лучше не связывайтесь. В качестве мысленного эксперимента сойдёт, или если
> есть хобби на предмет "покопаться".
Я вот тоже жизнеспособного варианта кроме прокси не вижу...
Проблема только в том, что не все приложения могут поддерживать прокси и не все мы можем доработать так, чтобы поддерживали, но похоже это оправданный риск
сообщить модератору +/– ответить

google проксификатор, Аноним (1), 11:16 , 13-Окт-22 (16) +1
> Проблема только в том, что не все приложения могут поддерживать прокси и
> не все мы можем доработать так, чтобы поддерживали,
google://проксификатор
сообщить модератору +1 +/– ответить
gt оверквотинг удален а внутри 1С Розница много приложений , ыы (?), 06:53 , 14-Окт-22 (18)
>[оверквотинг удален]
>> Если это запросы вообще, то всё упирается в то как отличать одно
>> от другого, в формате понятном дле принятия решения о маршрутизации. Как
>> я понимаю, если бюджет позволяет, то это можно сделать с помощью
>> DPI и реверс-инжениринга протоколов каждого из использующихся приложений.
>> А практически, лучше не связывайтесь. В качестве мысленного эксперимента сойдёт, или если
>> есть хобби на предмет "покопаться".
> Я вот тоже жизнеспособного варианта кроме прокси не вижу...
> Проблема только в том, что не все приложения могут поддерживать прокси и
> не все мы можем доработать так, чтобы поддерживали, но похоже это
> оправданный риск
а внутри 1С:Розница много приложений?
сообщить модератору +/– ответить

gt оверквотинг удален Приложение одно, внутри юр лиц может быть несколькоПока , FragMaster (ok), 10:48 , 14-Окт-22 (19)
>[оверквотинг удален]
>>> от другого, в формате понятном дле принятия решения о маршрутизации. Как
>>> я понимаю, если бюджет позволяет, то это можно сделать с помощью
>>> DPI и реверс-инжениринга протоколов каждого из использующихся приложений.
>>> А практически, лучше не связывайтесь. В качестве мысленного эксперимента сойдёт, или если
>>> есть хобби на предмет "покопаться".
>> Я вот тоже жизнеспособного варианта кроме прокси не вижу...
>> Проблема только в том, что не все приложения могут поддерживать прокси и
>> не все мы можем доработать так, чтобы поддерживали, но похоже это
>> оправданный риск
> а внутри 1С:Розница много приложений?
Приложение одно, внутри юр лиц может быть несколько
Пока из идей:
1) socks proxy + проксификатор + переписание софта(где можно это сделать) на обращение к конкретному прокси в зависимости от юр лица
2) еще один комп, на котором запущена та же 1С, но со своим инетом. Оператор операции по юр лицу 1 выполняет на 1 компе, операции по 2 юр лицу - на втором.
В 1 варианте не гарантированно будут работать всякие ККТ олайн с eth over usb, эквайринговые терминалы ибо , думаю не все они умеют прокси
сообщить модератору +/– ответить

Если рабочая машина под линуксом, то поможет network namespace Для юрлица1 запу, Аноним (1), 14:29 , 14-Окт-22 (20)
> 2) еще один комп, на котором запущена та же 1С, но со
> своим инетом. Оператор операции по юр лицу 1 выполняет на 1
> компе, операции по 2 юр лицу - на втором.
Если рабочая машина под линуксом, то поможет network namespace. Для юрлица1 запускать прогу в одном неймспейсе, для юрица2 - во втором. Т.е. два скрипта запуска сделать.
Если под виндой - сделать две копии бинарника (можно просто хардлинк на ntfs сделать) и настроить проксификатор так, чтобы каждый бинарник работал через свой прокси.
сообщить модератору +/– ответить

И в какойто острый момент он эти ярлычки перепутает , ыы (?), 09:02 , 15-Окт-22 (21)
>> 2) еще один комп, на котором запущена та же 1С, но со
>> своим инетом. Оператор операции по юр лицу 1 выполняет на 1
>> компе, операции по 2 юр лицу - на втором.
> Если рабочая машина под линуксом, то поможет network namespace. Для юрлица1 запускать
> прогу в одном неймспейсе, для юрица2 - во втором. Т.е. два
> скрипта запуска сделать.
> Если под виндой - сделать две копии бинарника (можно просто хардлинк на
> ntfs сделать) и настроить проксификатор так, чтобы каждый бинарник работал через
> свой прокси.
И в какойто острый момент он эти ярлычки перепутает...
сообщить модератору +/– ответить

Ну дык, сесть не за тот компьютер тоже есть вероятность 175 _ 12484 _ , Аноним (1), 10:22 , 15-Окт-22 (22)
Ну дык, сесть не за тот компьютер тоже есть вероятность...
¯\_(ツ)_/¯
сообщить модератору +/– ответить

Сесть не за тот компьютер и открыть не ту программу - не получить никакого ущер, ыы (?), 12:22 , 15-Окт-22 (23)
> Ну дык, сесть не за тот компьютер тоже есть вероятность...
> ¯\_(ツ)_/¯
Сесть не за тот компьютер и открыть не ту программу -> не получить никакого ущерба если там куда ты сел нет необходимой функции.
В данном случае - необходимая функция есть на обоих инсталляциях (одинаковые юрлица присутствуют и там и там) - и начать работать не от того юрлица- легко. об ошибке узнаешь уже после того как кнопка отправить сработает.
Можно дописать конфигурацию, внедряя дополнительные проверки.. Но...
Но...
Но божежмой, сколько гемороя нужно дописывать, городить прокси, лезть в код конфигурации реализовывая чудовищно нестандартный кейс по абсолютно нелепейшей причине...
правильное решение- разнести юрлица и настроить стандартную функциональность по согласованию данных в двух базах.
после чего разнести эти базы по разным датацентрам- один в австралии другой в мексике...
Исходную задачу не забыли еще? Чувак опасается, что в некоторых госслужбах ктото заметит что сомнительные перепродажи делаются на подставное лицо... и решать проблему он собирается.. ну вот так как собирается :)
сообщить модератору +/– ответить

gt оверквотинг удален Разделить базу на 2 шт не представляется возможным в сил, FragMaster (ok), 14:50 , 16-Окт-22 (24)
>[оверквотинг удален]
> Но...
> Но божежмой, сколько гемороя нужно дописывать, городить прокси, лезть в код конфигурации
> реализовывая чудовищно нестандартный кейс по абсолютно нелепейшей причине...
> правильное решение- разнести юрлица и настроить стандартную функциональность по согласованию
> данных в двух базах.
> после чего разнести эти базы по разным датацентрам- один в австралии другой
> в мексике...
> Исходную задачу не забыли еще? Чувак опасается, что в некоторых госслужбах ктото
> заметит что сомнительные перепродажи делаются на подставное лицо... и решать проблему
> он собирается.. ну вот так как собирается :)
Разделить базу на 2 шт не представляется возможным в силу уже достаточно большого числа баз.
Я понимаю, что этот ответ наиболее оптимален и очевиден, но у нас он невозможен.
Плюс, вы недооцениваете риски, которые возникают при пересечении IP адресов.
сообщить модератору +/– ответить

Интересный вариант, спс, FragMaster (ok), 14:51 , 16-Окт-22 (25)
>> 2) еще один комп, на котором запущена та же 1С, но со
>> своим инетом. Оператор операции по юр лицу 1 выполняет на 1
>> компе, операции по 2 юр лицу - на втором.
> Если рабочая машина под линуксом, то поможет network namespace. Для юрлица1 запускать
> прогу в одном неймспейсе, для юрица2 - во втором. Т.е. два
> скрипта запуска сделать.
> Если под виндой - сделать две копии бинарника (можно просто хардлинк на
> ntfs сделать) и настроить проксификатор так, чтобы каждый бинарник работал через
> свой прокси.
Интересный вариант, спс
сообщить модератору +/– ответить

gt оверквотинг удален DNAT, pavel_simple. (?), 10:32 , 09-Ноя-22 (26)
>[оверквотинг удален]
> Пример с 2 LAN портами не является обязательной реализацией и приведен для
> простоты описания, вместо этого может использоваться 1 роутер с каким-то ПО.
> Основные проблемы, которые я вижу:
>  - ККТ выгружает в ОФД чеки через  usb over Ethetnet
>  - эквайринговые терминал через  usb over Ethetnet
>  - всякие шлюзы оплаты, с которыми приложение взаимодействует(оплата по qr, api
> банка и т.д.)
> Вопрос:
> Возможна ли реализация работы данного кейса?
> Если да, то с помощью каких тех средств?
DNAT
сообщить модератору +/– ответить

IP попал под санкции, как обойти?,

DAI, (Другие proxy) 19-Фев-19, 14:12 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет!
IP сервиса попал под санкции и сервер с API недоступен из многих мест в России http://api2.bookinglayer.io/
Я подумал что можно сделать проксирование всех запросов для русских клиентов, но точно не знаю как и с помощью чего, есть опыт squid и tinyproxy но вообще во всем могу разобраться, не хочу придумывать велосипед, знатаки подскажите пож. как решить задачку.
Спасибо!

Ответить | Сообщить модератору

Нашел ответ тут https mkdev me en posts how-russia-s-government-blocked-our-bu, DAI (ok), 14:58 , 19-Фев-19 (1)
Нашел ответ тут:
https://mkdev.me/en/posts/how-russia-s-government-blocked-ou...
два хороших пути:
1.Configuring the server tunnel
echo "net.ipv4.conf.all.forwarding = 1" >> /etc/sysctl.conf
sysctl -p
firewall-cmd --permanent --add-masquerade
firewall-cmd --permanent --add-forward-port=port=80:proto=tcp:toport=80:toaddr=TARGET_IP
firewall-cmd --permanent --add-forward-port=port=443:proto=tcp:toport=443:toaddr=TARGET_IP
firewall-cmd --reload

2. Nginx proxy
stream {
    server {
        listen 443;
        proxy_pass TARGET_IP:8443;
        proxy_protocol on;
    }
}
http {
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';
    access_log /var/log/nginx/access.log main;
    sendfile on;
    tcp_nopush on;
    tcp_nodelay on;
    keepalive_timeout 65;
    types_hash_max_size 2048;
    include /etc/nginx/mime.types;
    default_type application/octet-stream;
    server {
        listen 80 default_server;
        listen [::]:80 default_server;
        server_name _;
        location / {
          proxy_pass http://TARGET_IP;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
       }
    }
}
> Всем привет!
> IP сервиса попал под санкции и сервер с API недоступен из многих
> мест в России http://api2.bookinglayer.io/
> Я подумал что можно сделать проксирование всех запросов для русских клиентов, но
> точно не знаю как и с помощью чего, есть опыт squid
> и tinyproxy но вообще во всем могу разобраться, не хочу придумывать
> велосипед, знатаки подскажите пож. как решить задачку.
> Спасибо!
сообщить модератору +/– ответить

Не используйте сервисы, IP которых могут попасть под блокировки Наймите системн, Аноним (9), 16:34 , 13-Апр-22 (9)
Не используйте сервисы, IP которых могут попасть под блокировки. Наймите системного администратора. Не девопса CI/CD, а настоящего.
сообщить модератору +/– ответить

А зачем обходить , shatt11 (ok), 19:42 , 08-Авг-22 (11)
> Всем привет!
> IP сервиса попал под санкции и сервер с API недоступен из многих
> мест в России http://api2.bookinglayer.io/
> Я подумал что можно сделать проксирование всех запросов для русских клиентов, но
> точно не знаю как и с помощью чего, есть опыт squid
> и tinyproxy но вообще во всем могу разобраться, не хочу придумывать
> велосипед, знатаки подскажите пож. как решить задачку.
> Спасибо!
А зачем обходить?)))
сообщить модератору +/– ответить

squid intercept и шлюз openwrt ,

Caesar Irod, (Прозрачный proxy) 28-Дек-19, 18:45 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Привет, нужна помощь в настройке связки шлюза на openwrt и squid intercept на отдельной машине.
В такой конфигураци, при обращении к http, на squid ошибки вида:
ERROR: NF getsockopt(ORIGINAL_DST) failed on local=192.168.174.2:3128 remote=192.168.174.1:43574 FD 13 flags=33: (2) No such file or directory
ERROR: NAT/TPROXY lookup failed to locate original IPs on local=192.168.174.2:3128 remote=192.168.174.1:43574 FD 13 flags=33
Которые свидетельствуют о том что, запрос идет напрямую, как от браузера.
Если я делаю перенаправление на 3130 (не intercept порт) то трафик начинает ходить,но в логах squid все запросы от шлюза.
Я вангую, что у меня криво настроенные правила маршрутизации на шлюзе, но ничего лучше я придумать не смог, и да я видел мануал по настройке через маркировку пакетов https://wiki.squid-cache.org/ConfigExamples/Intercept/Iptabl..., но я его не осилил.

squid на openwrt ставить не получится, потому что в дальнешем планируется использование прозрачного https без подмены сертификатов, а это корректно работает на версиях 4.+
Делать шлюзом squid то-же не вариант.

Конфигурация сети:
шлюз на openwrt(192.168.174.1)
squid сервер ubuntu 19.04(192.168.174.2)

Конфигурация firewall openwrt

config redirect
        option name       'squid_http_dnat'
        option src        lan
        option dest       wan
        option proto      tcp
        option src_ip     !192.168.174.2
        option src_dport  80
        option dest_ip    192.168.174.2
        option dest_port  3128
        option target     DNAT
        option enabled    1
 
config redirect
        option name       'squid_http_snat'
        option dest       lan
        option proto      tcp
        option src_dip    192.168.174.1
        option dest_ip    192.168.174.2
        option dest_port  3128
        option target     SNAT
        option enabled    1

Конфигурация squid.conf

http_port  3130 accel allow-direct
http_port  3128 intercept
client_dst_passthru off
acl localnet src 192.168.174.0/24 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 8080          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
http_access deny to_localhost
http_access allow localnet
http_access allow localhost
http_access deny all
always_direct allow all
cache_dir ufs /var/spool/squid 2048 64 256
coredump_dir /var/spool/squid
refresh_pattern ^ftp:         &n... 1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
dns_v4_first on
shutdown_lifetime 3 seconds
cache_mem 256 MB
maximum_object_size_in_memory 1 MB
dns_nameservers 192.168.174.1
visible_hostname home-srv.local
redirect_program /usr/local/rejik3/redirector /usr/local/rejik3/redirector.conf

Версия squid

Squid Cache: Version 4.4
Service Name: squid
Ubuntu linux
configure options:  '--build=x86_64-linux-gnu' '--prefix=/usr' '--includedir=${prefix}/include' '--mandir=${prefix}/share/man' '--infodir=${prefix}/share/info' '--sysconfdir=/etc' '--localstatedir=/var' '--libexecdir=${prefix}/lib/squid' '--srcdir=.' '--disable-maintainer-mode' '--disable-dependency-tracking' '--disable-silent-rules' 'BUILDCXXFLAGS=-g -O2 -fdebug-prefix-map=/build/squid-y3c0Vk/squid-4.4=. -fstack-protector-strong -Wformat -Werror=format-security -Wdate-time -D_FORTIFY_SOURCE=2 -Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed' '--enable-build-info=Ubuntu linux' '--datadir=/usr/share/squid' '--sysconfdir=/etc/squid' '--libexecdir=/usr/lib/squid' '--mandir=/usr/share/man' '--enable-inline' '--disable-arch-native' '--enable-async-io=8' '--enable-storeio=ufs,aufs,diskd,rock' '--enable-removal-policies=lru,heap' '--enable-delay-pools' '--enable-cache-digests' '--enable-icap-client' '--enable-follow-x-forwarded-for' '--enable-auth-basic=DB,fake,getpwnam,LDAP,NCSA,NIS,PAM,POP3,RADIUS,SASL,SMB' '--enable-auth-digest=file,LDAP' '--enable-auth-negotiate=kerberos,wrapper' '--enable-auth-ntlm=fake,SMB_LM' '--enable-external-acl-helpers=file_userip,kerberos_ldap_group,LDAP_group,session,SQL_session,time_quota,unix_group,wbinfo_group' '--enable-security-cert-validators=fake' '--enable-storeid-rewrite-helpers=file' '--enable-url-rewrite-helpers=fake' '--enable-eui' '--enable-esi' '--enable-icmp' '--enable-zph-qos' '--enable-ecap' '--disable-translation' '--with-swapdir=/var/spool/squid' '--with-logdir=/var/log/squid' '--with-pidfile=/var/run/squid.pid' '--with-filedescriptors=65536' '--with-large-files' '--with-default-user=proxy' '--with-gnutls' '--enable-linux-netfilter' 'build_alias=x86_64-linux-gnu' 'CFLAGS=-g -O2 -fdebug-prefix-map=/build/squid-y3c0Vk/squid-4.4=. -fstack-protector-strong -Wformat -Werror=format-security -Wall' 'LDFLAGS=-Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed' 'CPPFLAGS=-Wdate-time -D_FORTIFY_SOURCE=2' 'CXXFLAGS=-g -O2 -fdebug-prefix-map=/build/squid-y3c0Vk/squid-4.4=. -fstack-protector-strong -Wformat -Werror=format-security'

Ответить | Сообщить модератору

Победа, все работает squid пересобран с поддержкой peek spliceТак же, на проксе ,

Caesar Irod (ok), 00:10 , 29-Дек-19 (1) +1

Победа, все работает squid пересобран с поддержкой peek/splice
Так же, на проксе живет nginx на тех же портах

на шлюзе


#!/bin/ash
PROXY_IP=192.168.174.2
RT_TABLE=/etc/iproute2/rt_tables
CLIENT_IFACE=br-lan
FW_MARK=33
 
ADD_TABLE=`cat ${RT_TABLE} | grep '^200     proxy$' | wc -l`
if [ ${ADD_TABLE} = 0 ]; then
    echo '200     proxy' >> ${RT_TABLE}
fi
 
iptables -t mangle -A PREROUTING -j ACCEPT -p tcp -m multiport --dports 80,443 -s ${PROXY_IP}
iptables -t mangle -A PREROUTING -j MARK --set-mark ${FW_MARK} -p tcp -m multiport --dports 80,443
ip rule del fwmark ${FW_MARK}
ip rule add fwmark ${FW_MARK} table proxy
ip route add default via ${PROXY_IP} dev br-lan table proxy

На проксе


iptables -A PREROUTING -t nat -i ens2 -p tcp --dport 80 ! -d 192.168.174.2 -j REDIRECT --to-port 3128
iptables -A PREROUTING -t nat -i ens2 -p tcp --dport 443 ! -d 192.168.174.2 -j REDIRECT --to-port 3129

сообщить модератору +1 +/–

ответить

Подключение удаленному серверу через Putty,

tarabukinivan, (Другие proxy) 13-Окт-21, 09:17 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
На работе стоит http прокси сервер 10.14.254.42:3128. Т.е. во всех компьютерах с доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы выходят в инет через центральный офис. Мне с работы нужно через SSH выйти на свои удаленные сервера. Сервера к компании не относятся и находяться вне сети компании.
С дома выхожу через через Putty либо MobaXterm. Но с работы никак не работают. Как можно настроить Putty либо MobaXterm для работы через прокси сервер?
Захожу с Windows на Linux

Ответить | Сообщить модератору

Там в настроечках путти менюшка соответствующая есть, proxy называется, ыы (?), 10:04 , 13-Окт-21 (1)
> Добрый день!
> На работе стоит http прокси сервер 10.14.254.42:3128. Т.е. во всех компьютерах с
> доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы
> выходят в инет через центральный офис. Мне с работы нужно через
> SSH выйти на свои удаленные сервера. Сервера к компании не относятся
> и находяться вне сети компании.
> С дома выхожу через через Putty либо MobaXterm. Но с работы никак
> не работают. Как можно настроить Putty либо MobaXterm для работы через
> прокси сервер?
> Захожу с Windows на Linux
Там в настроечках путти менюшка соответствующая есть, proxy называется
сообщить модератору +/– ответить

gt оверквотинг удален Да я конечно сделал это Ошибка 403 Forbidden, tarabukinivan (ok), 03:53 , 14-Окт-21 (3)
>[оверквотинг удален]
>> На работе стоит http прокси сервер 10.14.254.42:3128. Т.е. во всех компьютерах с
>> доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы
>> выходят в инет через центральный офис. Мне с работы нужно через
>> SSH выйти на свои удаленные сервера. Сервера к компании не относятся
>> и находяться вне сети компании.
>> С дома выхожу через через Putty либо MobaXterm. Но с работы никак
>> не работают. Как можно настроить Putty либо MobaXterm для работы через
>> прокси сервер?
>> Захожу с Windows на Linux
> Там в настроечках путти менюшка соответствующая есть, proxy называется
Да я конечно сделал это. Ошибка 403 Forbidden
сообщить модератору +/– ответить

gt оверквотинг удален Ошибка 403 Forbidden не является частью протокола sshЭто, ыы (?), 08:39 , 14-Окт-21 (6)
>[оверквотинг удален]
>>> доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы
>>> выходят в инет через центральный офис. Мне с работы нужно через
>>> SSH выйти на свои удаленные сервера. Сервера к компании не относятся
>>> и находяться вне сети компании.
>>> С дома выхожу через через Putty либо MobaXterm. Но с работы никак
>>> не работают. Как можно настроить Putty либо MobaXterm для работы через
>>> прокси сервер?
>>> Захожу с Windows на Linux
>> Там в настроечках путти менюшка соответствующая есть, proxy называется
> Да я конечно сделал это. Ошибка 403 Forbidden
Ошибка 403 Forbidden не является частью протокола ssh
Это часть протокола http
возможно на вашей прокси стоит авторизация?
сообщить модератору +/– ответить
gt оверквотинг удален Ваш прокси не пускает на нестандартный 22 tcp порт Могу, Павел Отредиез (ok), 20:40 , 16-Окт-21 (8)
>[оверквотинг удален]
>>> доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы
>>> выходят в инет через центральный офис. Мне с работы нужно через
>>> SSH выйти на свои удаленные сервера. Сервера к компании не относятся
>>> и находяться вне сети компании.
>>> С дома выхожу через через Putty либо MobaXterm. Но с работы никак
>>> не работают. Как можно настроить Putty либо MobaXterm для работы через
>>> прокси сервер?
>>> Захожу с Windows на Linux
>> Там в настроечках путти менюшка соответствующая есть, proxy называется
> Да я конечно сделал это. Ошибка 403 Forbidden
Ваш прокси не пускает на нестандартный 22/tcp порт. Могу предложить на целевом сервере перевесить sshd на 80/tcp порт.
сообщить модератору +/– ответить

А на прокси сервер у вас доступ по SSH есть , Licha Morada (ok), 16:57 , 13-Окт-21 (2) +1

> На работе стоит http прокси сервер 10.14.254.42:3128.
> ...
> Как можно настроить Putty либо MobaXterm для работы через
> прокси сервер?
А на прокси сервер у вас доступ по SSH есть?
сообщить модератору +1 +/– ответить

Поскольку прокси своей фирмы вы не админите и не знаете, что там разрешено запре, ipmanyak (ok), 15:37 , 14-Окт-21 (7)
> Добрый день!
> На работе стоит http прокси сервер 10.14.254.42:3128. Т.е. во всех компьютерах с
> доступом в интернет в свойствах обозревателя стоит этот прокси. Все филиалы
> выходят в инет через центральный офис. Мне с работы нужно через
> SSH выйти на свои удаленные сервера. Сервера к компании не относятся
> и находяться вне сети компании.
> С дома выхожу через через Putty либо MobaXterm. Но с работы никак
> не работают. Как можно настроить Putty либо MobaXterm для работы через
> прокси сервер?
>  Захожу с Windows на Linux
Поскольку прокси своей фирмы вы не админите и не знаете, что там разрешено/запрещено, то дальнейшая полемика -  пустая трата времени. Ищите другие варианты.
Например:
1 -  поговорить с админами и попросить выпустить вас  по 22 порту через прокси или напрямую. Могут отказать и просто так и по  причине наличия отдела безопасности со своим софтом.
2 - дома поднимаете удаленный доступ  по VPN и  коннектитесь по нему к своей машине, опять же если вашей машине/учетке это разрешено в конторе.
3 - Если VPN не разрешен, то остается кидать HTTP туннель. Ставите дома прогу типа teamviwer на постоянку , который работает по 80 порту , а он всегда открыт для раб.станций в конторе. Клиентом  тимвьюера заходите домой, а оттуда уже у вас все пути дороги прописаны и даже настраивать  putty не придется.  И никого просить не надо, админы даже могут и не заметить, если  они ранее не предприняли мер для обнаружения http туннелей, которые обнаруживать не так просто.
сообщить модератору +/– ответить
Малинку повесте в рабочую сеть , Linux User (?), 03:56 , 17-Окт-21 (9)
Малинку повесте в рабочую сеть.

сообщить модератору +/– ответить

Блокировка выполнения файла *.js,

vad_v, (ACL, блокировки) 06-Сен-19, 08:32 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

День добрый. Вопрос вроде простой, но сходу у меня не получилось выполнить.
Нужно заблокировать выполнение JavaScript https://www.site.com/push/fe8daf4c-ea96-11e5-8de3-00215ae090...
Делал:
acl MYSITE-PUSH url_regex ^https:\/\/www\.site\.com\/push\/
http_access deny MYSITE-PUSH
Squid Cache: Version 3.1.20

Ответить | Сообщить модератору

А теперь подумай хорошенько, что именно найдет этот регэксп и почему сквид на тв, Аноним (1), 09:19 , 06-Сен-19 (1)
> acl MYSITE-PUSH url_regex ^https:\/\/www\.site\.com\/push\/
А теперь подумай хорошенько, что именно найдет этот регэксп и почему сквид на твоем адресе с этим регэкспом скажет "не, не похоже, хозяин чо-та не то искать велел"
Если так и не сообразишь, смотри наглядно как твой регэксп себя ведет тут - https://regex101.com/
> http_access deny MYSITE-PUSH
debug_options 28,5 и изучать логи
> Squid Cache: Version 3.1.20
На дворе 4.8. Ну как минимум 3.5.28. Всеж-таки он у тебя в инет смотрит, а не в соседний комп...
сообщить модератору +/– ответить

https duckduckgo com q mitrofanov https site www opennet ru openforum vsluh, Andrey Mitrofanov_N0 (??), 11:12 , 06-Сен-19 (5)
> День добрый. Вопрос вроде простой, но сходу у меня не получилось выполнить.
> Нужно заблокировать выполнение JavaScript https://www.site.com/push/fe8daf4c-ea96-11e5-8de3-00215ae090...
>> заблокировать
>> https://
https://duckduckgo.com/?q=mitrofanov+"https"+site:...
как закончите, факультативно!, можете поизучать
https://duckduckgo.com/?q="ssl_bump"+site:www.open...
сообщить модератору +/– ответить

Я так понял, что это мой случай Ничего либо разрешить _всё_ по https на конкре, vad_v (ok), 11:28 , 06-Сен-19 (6)
>> День добрый. Вопрос вроде простой, но сходу у меня не получилось выполнить.
>> Нужно заблокировать выполнение JavaScript https://www.site.com/push/fe8daf4c-ea96-11e5-8de3-00215ae090...
>  >> заблокировать
>  >> https://
> https://duckduckgo.com/?q=mitrofanov+"https"+site:...
Я так понял, что это мой случай:

"Ничего: либо разрешить _всё_ по https на конкретный сервер, либо не разрешить. Для прокси https _by_disign_ непрозрачен и выглядит просто как CONNECT на порт (обычно) 443. При этом внутри одного коннекта может "пройти" много запросов "http", но прокси об этом не узнает.
Поэтому, в частности, squid-ом не получается обрезать рекламу, например, на https:  mail.ru. Только экстеншеном-каким в броузере."

сообщить модератору +/– ответить

gt оверквотинг удален Если у Вас продакшен, то наверное можно посмотреть в сто, Павел Отредиез (?), 17:19 , 06-Сен-19 (7)
>[оверквотинг удален]
>>  >> заблокировать
>>  >> https://
>> https://duckduckgo.com/?q=mitrofanov+"https"+site:...
> Я так понял, что это мой случай:
> "Ничего: либо разрешить _всё_ по https на конкретный сервер, либо не разрешить.
> Для прокси https _by_disign_ непрозрачен и выглядит просто как CONNECT на
> порт (обычно) 443. При этом внутри одного коннекта может "пройти" много
> запросов "http", но прокси об этом не узнает.
> Поэтому, в частности, squid-ом не получается обрезать рекламу, например, на https:
> mail.ru. Только экстеншеном-каким в броузере."
Если у Вас продакшен, то наверное можно посмотреть в сторону ssl bump, но не Вашей версии. надо хотябы 3.5.35 емнип.

сообщить модератору +/– ответить

win, socat/netcat/?!?, DNS redirect/proxy, DNSPort.. как?!,

крокодил мимо.., (Разное) 09-Июн-21, 02:24 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

дано:
☆ драный локалхост на винде (боль и печаль, но тут ничего нельзя сделать от слова "совсем"™, чсбх)..
надо:
★ сделать редирект/форвард (и блок по udp.destport==53, но эт потом, виндовый файрвол таки должен эт уметь) всех DNS запросов на DNSPort (127.0.0.1:5353 .. импортозамещение, ога) для всего того барахла, которое не умеет культурно в SOCKS(4A/5A)..
т.е. "прилететь" пакет может воще из сказочного зоопарка неведомого софта..
не работает (в "[]"-опции):
socat -v -x UDP-LISTEN:53[,fork,reuseaddr] TCP:127.0.0.1:5353 &
socat -v -x UDP-LISTEN:53[,fork,reuseaddr] UDP:127.0.0.1:5353 &
socat -v -x UDP4-LISTEN:53[,fork,reuseaddr] UDP:127.0.0.1:5353 &
socat -v -x TCP-LISTEN:53[,fork,reuseaddr] TCP:127.0.0.1:5353 &
socat -v -x UDP-LISTEN:53[,fork,reuseaddr] - (тут тоже тишина, воще не эрогирует на пакеты с udp.destport==53)
socat из cygwin.. или туплю страшнейшим образом, или оно мышей не ловит, или заблудилсо в трёх соснах.. любой совет, ссылки и даже пожелания убиццо апстену вибратором (со ссылкой на стену и вибратор), но чтобы заработало хоть как-то..
спасибо..

Ответить | Сообщить модератору

А теперь тоже самое, только развернуто и нормальным русским языком, а не воплями, Аноним (1), 09:42 , 09-Июн-21 (1) +1
> дано:
А теперь тоже самое, только развернуто и нормальным русским языком, а не воплями макаки с лурка.
> спасибо..
Да пожалуйста.
сообщить модератору +1 +/– ответить

а, простите, что непонятно и как лучше сказать-то э-мм есть локалхост с , крокодил мимо.. (?), 10:43 , 09-Июн-21 (2)
>> дано:
> А теперь тоже самое, только развернуто и нормальным русским языком, а не
> воплями макаки с лурка.
???!
а, простите, что непонятно? и как лучше сказать-то?!
э-мм.. есть локалхост с виндовс, который, для начала, в локалку спамит сам запросами DNS когда хочет и как хочет.. нужно
— во-первых, завернуть все эти запросы на DNS-listener (DNSPort=127.0.0.1:5353), который будет запущен на этом же хосте..
— во-вторых, если возможно, организовать transparent DNS-redirect/DNS-proxy на этом же хосте альтернативными средствами, если затея с DNS-listener не выгорит..
и в конце уже тупо виндовым файрволом блокируем весь исходящий трафик по 53-му порту UDP/TCP, что элементарно.. сложно (мне) именно в том, что нельзя чётко определить набор прикладного софта, который спамит DNS-запросы.. т.е. нужно некое глобальное решение для всего софта, который не умеет корректно работать с SOCKS4A/SOCKS5A.. примеры "socat"-а, которые не сработали, выложил выше.. есть мысль, что делаю что-то не то и не так, но куда ещё можно смотреть - не знаю..
и "да"™, вы таки не видели Ѣ абизян с лурочки, чтобы громко говорить об этом в общественных местах..
сообщить модератору +/– ответить

Вы что-то несуразное плетете Весь софт на локалхост винде, если это только не ч, ыы (?), 11:23 , 09-Июн-21 (3)
> э-мм.. есть локалхост с виндовс, который, для начала, в локалку спамит сам
> запросами DNS когда хочет и как хочет.. нужно
Вы что-то несуразное плетете.
Весь софт на локалхост винде,  если это только не чтото действительно уникально-специфическое написанное персонально чтобы позлить макаку с лурка, - использует для ДНС запросов те сервера ДНС которые указаны в конфигурации сети виндовс. И сеть эту вы сконфигурировали сами (наверное).
Есть варианты, когда используется mDNS- который делает широковещательные запросы в локалку по udp, однако если вы завернете его  на свой подставной MITM-днс резолвер- то смысл в технологии пропадет (если вы конечно этого не добиваетесь) и проще просто блокировать mDNS на файрволе полностью.
Так что у нормального локалхоста на винде (а не луркового затейника) - нет  боли и обезьяних ужимок - все работает четко по инструкции.
сообщить модератору +/– ответить

ога только есть один ма-а-аленький нюанс, как говаривал Чапай это - не няша , крокодил мимо.. (?), 11:49 , 09-Июн-21 (4)
> все работает четко по инструкции.
ога.. только есть один ма-а-аленький нюанс, как говаривал Чапай: это - не няша "инструкция"™..

> Весь софт на локалхост винде, если это только не чтото действительно уникально-специфическое написанное персонально чтобы позлить макаку с лурка, - использует для ДНС запросов те сервера ДНС которые указаны в конфигурации сети виндовс. И сеть эту вы сконфигурировали сами (наверное).
собсно вся суть, после чего провели мониторинг (на шлюзе сети), ох#### (!Очень Удивились и Обрадовались!) от результатов и теперь чешем бестолковку на предмет "мама, мама, что я буду делать.. мама, мама, как я буду жить.."™ :)
цимес в том, что мёртвая тишина при:
socat -v -x UDP-LISTEN:53,fork,reuseaddr STDOUT
вариант с реконфигурацией сети на VPN/VPS - только если нет какого-то более элегантного/хитровыкрученного решения, а-ля SOCKS4A/SOCKS5A..
вопрос именно в том, куда (ещё) можно посмотреть..
сообщить модератору +/– ответить

gt оверквотинг удален Посомтреть можно tcpdump - узнать на какой сокет идут за, ыы (?), 14:57 , 09-Июн-21 (7)
>[оверквотинг удален]
>> Весь софт на локалхост винде, если это только не чтото действительно уникально-специфическое написанное персонально чтобы позлить макаку с лурка, - использует для ДНС запросов те сервера ДНС которые указаны в конфигурации сети виндовс. И сеть эту вы сконфигурировали сами (наверное).
> собсно вся суть, после чего провели мониторинг (на шлюзе сети), ох#### (!Очень
> Удивились и Обрадовались!) от результатов и теперь чешем бестолковку на предмет
> "мама, мама, что я буду делать.. мама, мама, как я буду
> жить.."™ :)
> цимес в том, что мёртвая тишина при:
> socat -v -x UDP-LISTEN:53,fork,reuseaddr STDOUT
> вариант с реконфигурацией сети на VPN/VPS - только если нет какого-то более
> элегантного/хитровыкрученного решения, а-ля SOCKS4A/SOCKS5A..
> вопрос именно в том, куда (ещё) можно посмотреть..
Посомтреть можно:
tcpdump - узнать на какой сокет идут запросы к dns
ipconfig - узнать какой на какой ДНС-сервер должны идти запросы ДНС
так же в настройках сетевой карты можно указать в качестве днс-сервера localhost
сообщить модератору +/– ответить

facepalm jpgкамрад, спс те за внимание к теме, но не пиши здесь больше ничего по, крокодил мимо.. (?), 15:13 , 09-Июн-21 (9) –1
> Посомтреть можно:
> tcpdump - узнать на какой сокет идут запросы к dns
> ipconfig - узнать какой на какой ДНС-сервер должны идти запросы ДНС
> так же в настройках сетевой карты можно указать в качестве днс-сервера localhost
facepalm.jpg
камрад, спс те за внимание к теме, но не пиши здесь больше ничего подобного.. лады?

сообщить модератору –1 +/– ответить

Даже так Да не вопрос я только что вот запустил твою конструкцию у меня ра, ыы (?), 15:17 , 09-Июн-21 (10)
>> Посомтреть можно:
>> tcpdump - узнать на какой сокет идут запросы к dns
>> ipconfig - узнать какой на какой ДНС-сервер должны идти запросы ДНС
>> так же в настройках сетевой карты можно указать в качестве днс-сервера localhost
> facepalm.jpg
> камрад, спс те за внимание к теме, но не пиши здесь больше
> ничего подобного.. лады?
Даже так? Да не вопрос. :)
я только что вот запустил твою конструкцию. у меня работает.
И тебе.. успехов :)
сообщить модератору +/– ответить

а вот за это - реально Спасибо, если не врёшь значит бум смотреть, почему тут , крокодил мимо.. (?), 15:22 , 09-Июн-21 (12)
> я только что вот запустил твою конструкцию. у меня работает.
а вот за это - реально Спасибо, если не врёшь.. значит бум смотреть, почему тут тишь и гладь..
сообщить модератору +/– ответить

у тебя нет выбора - однажды тебе придётся загрузиться с флешки и забыть про cygw, ACCA (ok), 13:40 , 09-Июн-21 (5)
у тебя нет выбора - однажды тебе придётся загрузиться с флешки и забыть про cygwin.
сообщить модератору +/– ответить

тихо сам с собой т к реальной пользы и желающих чё-нить посоветовать пока тут, крокодил мимо.. (?), 12:43 , 10-Июн-21 (13)
тихо сам с собой.. т.к. реальной пользы и желающих чё-нить посоветовать пока тут нет..
★ после апгрейда до npcap-1.31, отключения виртуального сетевого интерфейса (драйвер npcap работает) и запуска DNS-Listener (на порт 5353), стартанул (в job-ах) следующее:
socat UDP-LISTEN:53,fork,reuseaddr UDP:127.0.0.1:5353 &
socat TCP-LISTEN:53,fork,reuseaddr TCP:127.0.0.1:5353 &
socat -u UDP-RECVFROM:53,fork,reuseaddr TCP:127.0.0.1:5353 &
и посыпались ошибки с reject-ами (в stderr), которые как-то сами сошли на нет.. что их вызвало пока не понел.. в системе монитор показывает "DNS query retransmission" по mDNS и LLMNR c какими-то ахтунгами и ворнингами (чё не нра - тоже пока хз), главное - counter растёт, что радует.. срань со стуком и спамом на ctldl.windowsupdate.com через hosts не лечится, ска, кто б сомневался.. чем фильтровать запросы dns по контексту - заблокировал всё "общение" с драным akamai.net.. настроить прозрачное проксирование и фильтрацию dns запросов на M$ с глобальным обрезом всего исходящего трафа на 53-ий порт пока не получается.. мдэ..
сообщить модератору +/– ответить

Недоступность некоторых сайтов через прокси,

Аноним, (Разное) 07-Фев-21, 18:31 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Кто-нибудь сталкивался с полной или частичной недоступностью некоторых сайтов через прокси-сервер?
https://www.cdek.ru/ - не открывается через корпоративные прокси (squid v3/4/5 и delegate), а также ни через один анонимный прокси-сервер, найденные в инете и Тор. Симптомы везде одинаковы - Firefox пишет "Веб-страница замедляет ваш браузер, подождать/остановить", Chrome просто до бесконечности показывает загрузку на фоне белой страницы. Без прокси сайт функционирует нормально.
https://www.s7.ru/ - не работает только с Сhrome через прокси: вначале несколько секунд отображает содержимое страницы, потом все исчезает, остается пустой лист. В Firefox/Internet Explorer через те же самые прокси все нормально.
Браузеры обновлены до последних версий; squid на прокси тоже последний стабильный 4.13, пробовал и бету 5-й версии, и старый 3.5.28 вытащил на свет божий; конфигурации использовал дефолтные с минимумом настроек (фактически http_access allow all)
В логах прокси никаких ошибок нет, все соединения со статусом TCP_TUNNEL/200
В консоли хрома - нижеприведенные ошибки при доступе через прокси:
adrum-latest.js:29 TypeError: String.prototype.link called on null or undefined
    at link (<anonymous>)
    at Go (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at Zo (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at Object.useState (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at t.useState (main~678f84af.c218e8e13ecb54f867d9.chunk.js:9)
    at W (44.90591cebb3d7bcbe3fe1.chunk.js:1)
    at $o (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at Fa (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at Ra (main~3c941b24.61c89be44e67ab788d5c.js:9)
    at yl (main~3c941b24.61c89be44e67ab788d5c.js:9)
(anonymous) @ adrum-latest.js:29
el @ main~3c941b24.61c89be44e67ab788d5c.js:9
n.callback @ main~3c941b24.61c89be44e67ab788d5c.js:9
fo @ main~3c941b24.61c89be44e67ab788d5c.js:9
ol @ main~3c941b24.61c89be44e67ab788d5c.js:9
pu @ main~3c941b24.61c89be44e67ab788d5c.js:9
t.unstable_runWithPriority @ main~678f84af.c218e8e13ecb54f867d9.chunk.js:17
Ui @ main~3c941b24.61c89be44e67ab788d5c.js:9
du @ main~3c941b24.61c89be44e67ab788d5c.js:9
Jl @ main~3c941b24.61c89be44e67ab788d5c.js:9
(anonymous) @ main~3c941b24.61c89be44e67ab788d5c.js:9
t.unstable_runWithPriority @ main~678f84af.c218e8e13ecb54f867d9.chunk.js:17
Ui @ main~3c941b24.61c89be44e67ab788d5c.js:9
Ki @ main~3c941b24.61c89be44e67ab788d5c.js:9
qi @ main~3c941b24.61c89be44e67ab788d5c.js:9
$l @ main~3c941b24.61c89be44e67ab788d5c.js:9
ma @ main~3c941b24.61c89be44e67ab788d5c.js:9
(anonymous) @ 44.90591cebb3d7bcbe3fe1.chunk.js:1
(anonymous) @ adrum-latest.js:29
XMLHttpRequest.send (async)
(anonymous) @ adrum-latest.js:29
(anonymous) @ main~2a42e354.c1eb9ceba668f4779a66.chunk.js:18
b.Ti @ adrum-latest.js:12
e @ adrum-latest.js:156
t.exports @ main~2a42e354.c1eb9ceba668f4779a66.chunk.js:18
t.exports @ main~2a42e354.c1eb9ceba668f4779a66.chunk.js:8
(anonymous) @ adrum-latest.js:29
An unknown error occurred when fetching the script.
syncsspdmp:1 GET https://dsp-eu-lb.rtbsolutions.pro/dmp/syncsspdmp?sspid=2274... 500
Image (async)
(anonymous) @ sspmatch-js?p=34502:4
А вот такой вывод в консоли хрома без прокси:
syncsspdmp:1 GET https://dsp-eu-lb.rtbsolutions.pro/dmp/syncsspdmp?sspid=2274... 500
Image (async)
(anonymous) @ sspmatch-js?p=34502:5
adrum-latest.js:29 GET https://sf19-scmcdn-va.ibytedtos.com/goofy/track-log-interna... net::ERR_CERT_COMMON_NAME_INVALID
(anonymous) @ adrum-latest.js:29
(anonymous) @ sdk.js?sdkid=BSMMJPFRH2682FEL6130:8
(anonymous) @ sdk.js?sdkid=BSMMJPFRH2682FEL6130:9
An unknown error occurred when fetching the script.
showad.js:2 Resource interpreted as Document but transferred with MIME type image/png: "https://ads.betweendigital.com/match?bidder_id=133&external_....
D @ showad.js:2
R @ showad.js:2
a4 @ showad.js:2
aw.PugMasterCallback @ showad.js:2
(anonymous) @ PugMaster?kdntuid=1&rnd=64857983&p=156578&s=0&a=0&ptask=ALL&np=0&fp=0&mpc=0&spug=1&coppa=0&gdpr=0&gdpr_consent=&us_privacy=&sec=1:1
25BA50EA0D2CAF57:1 GET https://an.yandex.ru/setud/adsniper/25BA50EA0D2CAF57?sign=10... 404
Image (async)
set @ adrum-latest.js:70
getRequest @ 10001CC4.js:1
postVisit @ 10001CC4.js:1
init @ 10001CC4.js:1
on_code_ready @ 10001CC4.js:1
(anonymous) @ 10001CC4.js:1
onLoadEnd @ 10001CC4.js:1
sd.onload @ 10001CC4.js:1
load (async)
sc.onload @ 10001CC4.js:1
load (async)
loadUserCode @ 10001CC4.js:1
(anonymous) @ 10001CC4.js:1
(anonymous) @ 10001CC4.js:1
PugMaster?kdntuid=1&rnd=64857983&p=156578&s=0&a=0&ptask=ALL&np=0&fp=0&mpc=0&spug=1&coppa=0&gdpr=0&gdpr_consent=&us_privacy=&sec=1:1 Resource interpreted as Document but transferred with MIME type image/gif: "https://simage2.pubmatic.com/AdServer/Pug?vcode=bz0yJnR5cGU9....
(anonymous) @ PugMaster?kdntuid=1&rnd=64857983&p=156578&s=0&a=0&ptask=ALL&np=0&fp=0&mpc=0&spug=1&coppa=0&gdpr=0&gdpr_consent=&us_privacy=&sec=1:1
loader.js?site_id=141:6 Uncaught (in promise) TypeError: Cannot read property 'pushManager' of undefined
    at loader.js?site_id=141:6
    at adrum-latest.js:29
(anonymous) @ loader.js?site_id=141:6
(anonymous) @ adrum-latest.js:29
Promise.then (async)
(anonymous) @ adrum-latest.js:29
(anonymous) @ (index):16
(anonymous) @ loader.js?site_id=141:6
(anonymous) @ loader.js?site_id=141:6
load (async)
(anonymous) @ adrum-latest.js:29
w @ loader.js?site_id=141:6
(anonymous) @ loader.js?site_id=141:3
(anonymous) @ adrum-latest.js:29
25BA50EA0D2CAF57:1 GET https://an.yandex.ru/setud/adsniper/25BA50EA0D2CAF57?sign=47... 404
Image (async)
sendPixel @ pixel.html?url=Ly9jbS5nLmRvdWJsZWNsaWNrLm5ldC9waXhlbD9nb29nbGVfbmlkPWFkc25pcGVycnUmZ29vZ2xlX2NtJmV4dHJhMT1OMkpoTkRVNU5qUXROamsxT0MweE1XVmlMVGcyWlRBdE1EQXlOVGt3WXpBMk5EZGpYekUyTVRJM01URTBNekUqJmV4dHJhMj1ncDMuMTAwMDFDQzQucHhsZWFkdmlzaXRjNzM2NC52NzM2NA**:34
(anonymous) @ pixel.html?url=Ly9jbS5nLmRvdWJsZWNsaWNrLm5ldC9waXhlbD9nb29nbGVfbmlkPWFkc25pcGVycnUmZ29vZ2xlX2NtJmV4dHJhMT1OMkpoTkRVNU5qUXROamsxT0MweE1XVmlMVGcyWlRBdE1EQXlOVGt3WXpBMk5EZGpYekUyTVRJM01URTBNekUqJmV4dHJhMj1ncDMuMTAwMDFDQzQucHhsZWFkdmlzaXRjNzM2NC52NzM2NA**:49
25BA50EA0D2CAF57:1 GET https://an.yandex.ru/setud/adsniper/25BA50EA0D2CAF57?sign=47... 404
Image (async)
sendPixel @ pixel.html?url=Ly94MDEuYWlkYXRhLmlvLzAuZ2lmP3BpZD1BRFNOSVBFUiZpZD1OMkpoTkRVNU5qUXROamsxT0MweE1XVmlMVGcyWlRBdE1EQXlOVGt3WXpBMk5EZGpYekUyTVRJM01URTBNekUq:34
(anonymous) @ pixel.html?url=Ly94MDEuYWlkYXRhLmlvLzAuZ2lmP3BpZD1BRFNOSVBFUiZpZD1OMkpoTkRVNU5qUXROamsxT0MweE1XVmlMVGcyWlRBdE1EQXlOVGt3WXpBMk5EZGpYekUyTVRJM01URTBNekUq:49
25BA50EA0D2CAF57:1 GET https://an.yandex.ru/setud/adsniper/25BA50EA0D2CAF57?sign=47... 404
Image (async)
sendPixel @ pixel.html?url=Ly9yZWRpcmVjdC5mcm9udGVuZC53ZWJvcmFtYS5mci9yZD91cmw9aHR0cHMlM0ElMkYlMkZzeW5jLmJ1bWxhbS5jb20lMkYlM0ZzcmMlM0R3YnIxJTI2dWlkJTNEe1dFQk9fQ0lEfQ**:34
(anonymous) @ pixel.html?url=Ly9yZWRpcmVjdC5mcm9udGVuZC53ZWJvcmFtYS5mci9yZD91cmw9aHR0cHMlM0ElMkYlMkZzeW5jLmJ1bWxhbS5jb20lMkYlM0ZzcmMlM0R3YnIxJTI2dWlkJTNEe1dFQk9fQ0lEfQ**:49
Интересуют две вещи - воспроизводится ли эта ситуация у других использующих прокси в своем хозяйстве, ну и как выходить из ситуации, кроме самоочевидного пускать трафик до проблемных сайтов в обход прокси.
?

Ответить | Сообщить модератору

Похоже что это говнище пытается резольвить hsts Если тебе нужен именно хромой , Аноним (-), 10:38 , 08-Фев-21 (1)
Похоже что это говнище пытается резольвить hsts . Если тебе нужен именно хромой - разбирайся, там всего 15 гигабайт исходников.
сообщить модератору +/– ответить

gt оверквотинг удален Собрал статистику для вас все через прокси squid3 1 12, aaa (??), 20:24 , 09-Фев-21 (3)
>[оверквотинг удален]
> (anonymous) @ pixel.html?url=Ly94MDEuYWlkYXRhLmlvLzAuZ2lmP3BpZD1BRFNOSVBFUiZpZD1OMkpoTkRVNU5qUXROamsxT0MweE1XVmlMVGcyWlRBdE1EQXlOVGt3WXpBMk5EZGpYekUyTVRJM01URTBNekUq:49
> 25BA50EA0D2CAF57:1 GET https://an.yandex.ru/setud/adsniper/25BA50EA0D2CAF57?sign=47...
> 404
> Image (async)
> sendPixel @ pixel.html?url=Ly9yZWRpcmVjdC5mcm9udGVuZC53ZWJvcmFtYS5mci9yZD91cmw9aHR0cHMlM0ElMkYlMkZzeW5jLmJ1bWxhbS5jb20lMkYlM0ZzcmMlM0R3YnIxJTI2dWlkJTNEe1dFQk9fQ0lEfQ**:34
> (anonymous) @ pixel.html?url=Ly9yZWRpcmVjdC5mcm9udGVuZC53ZWJvcmFtYS5mci9yZD91cmw9aHR0cHMlM0ElMkYlMkZzeW5jLmJ1bWxhbS5jb20lMkYlM0ZzcmMlM0R3YnIxJTI2dWlkJTNEe1dFQk9fQ0lEfQ**:49
> Интересуют две вещи - воспроизводится ли эта ситуация у других использующих прокси
> в своем хозяйстве, ну и как выходить из ситуации, кроме самоочевидного
> пускать трафик до проблемных сайтов в обход прокси.
> ?
Собрал "статистику" для вас:
все через прокси squid3.1.12 сайт cdek
win7pro ff85.0.1 не открывает, ошибка таже;
win7starter ff28.0 открывает;
lin ff24.8.1esr открывает
lin palemoon27.9.3 открывает
Сдеком приходила посылка где-то в сентябре-октябре, через прокси на вин7 и фф последней версии сайт открывался.
Возможно новая фича браузеров.
Логи сквида смотреть лень)
сообщить модератору +/– ответить

Haproxy может проксировать на несколько отдельных VM?,

landex, (Другие proxy) 06-Янв-21, 14:06 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем привет.
Не могу найти вариант заставить работать прокси на две (и более на перспективу вирт машин)
Сейчас имеем:
Пул сайтов ВМ которые висят на ип 192.168.1.35 и прекрасно проксируютс Хапрокси. Каждый сайт имеет свой сертификат.
Я завел еще одну ВМ 192.168.1.33 - (црм, офис и тп) - ну блин не могу добиться нормальной работы, все время отдается сертификат одной из машин с первой ВМ
Вот конфиг - что не так делаю?
UPD
root@HAPROXY:~# curl -I https://crm2.mysite.ru
curl: (51) SSL: no alternative certificate subject name matches target host name 'crm2.mysite.ru'
frontend MY-SSL
bind *:443
        mode tcp
#       mode http
#       option forwardfor
#       reqadd X-Forwarded-Proto:\ https
        use_backend MY-SSL
backend MY-SSL
        mode tcp
        stick-table type ip size 1m expire 1h
        stick on src
        timeout connect         10s
        timeout client          1m
        timeout server          1m
        option ssl-hello-chk
        server mysite.ru 192.168.1.35:443 send-proxy check
frontend MY-CRM
bind *:443
        mode tcp
#       mode http
        option forwardfor
        reqadd X-Forwarded-Proto:\ https
       use_backend MY-CRM
backend MY-CRM
        mode tcp
        stick-table type ip size 1m expire 1h
        stick on src
        timeout connect         10s
        timeout client          1m
        timeout server          1m
        option ssl-hello-chk
        server crm2.mysite.ru 192.168.1.33:443 send-proxy check

Ответить | Сообщить модератору

У вас только с сертификатом проблема Подозреваю, что ваш HAPROXY не умеет отлич, Licha Morada (ok), 00:13 , 07-Янв-21 (1)
У вас только с сертификатом проблема? Подозреваю, что ваш HAPROXY не умеет отличить запрос к MY-SSL от MY-CRM и просто обращается всегда к первому.
Возможные меры:
Разнесите сайты по разным портам (некрасиво) или адресам на прокси, раз так нужен mode tcp.
Используйте один и тот-же сертификат на разных сайтах (лучше не).
Терминируйте TLS на прокси, Nginx хорошо справляется.
сообщить модератору +/– ответить

Подмена рекламы,

AttempGame, (Squid) 18-Сен-19, 09:14 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Есть интернет провайдер, поступил заказ нужно реализовать подмену блоков рекламы через прозрачный прокси сквид (SQUID), как можно реализовать?Куча способов перепробовал, рабочих вариантов не нашел, за помощь буду очень признателен

Ответить | Сообщить модератору

ХЗ, чего там была куча, способ и вариант один - редиректор Но учитывая, как сег, Аноним (1), 09:36 , 18-Сен-19 (1)
> Есть интернет провайдер, поступил заказ нужно реализовать подмену блоков рекламы через
> прозрачный прокси сквид (SQUID), как можно реализовать?Куча способов перепробовал, рабочих
> вариантов не нашел, за помощь буду очень признателен
ХЗ, чего там была куча, способ и вариант один - редиректор. Но учитывая, как сегодня распространяется реклама, задачу он сможет выполнять исключительно при помощи регулярок со всеми вытекающими, обойдется очень дорого во всех смыслах, "провайдеру" оно точно надо?

сообщить модератору +/– ответить
Вы не боитесь ответственности за вмешательство в частную жизнь хомячков Ведь отв, ыы (?), 13:29 , 18-Сен-19 (2)
> Есть интернет провайдер, поступил заказ нужно реализовать подмену блоков рекламы через
> прозрачный прокси сквид (SQUID), как можно реализовать?Куча способов перепробовал, рабочих
> вариантов не нашел, за помощь буду очень признателен
Вы не боитесь ответственности за вмешательство в частную жизнь хомячков?
Ведь отвечать будет не заказчик. а непосредственный исполнитель... тоесть Вы...
сообщить модератору +/– ответить

Меня больше интересует вопрос, как в этой ситуации провайдер будет убеждать хо, Аноним (1), 13:37 , 18-Сен-19 (3)
> Вы не боитесь ответственности за вмешательство в частную жизнь хомячков?
Меня больше интересует вопрос, как в этой ситуации "провайдер" будет убеждать хомячков ставить на компы свой сертификат, чтобы эта идея хотя бы выглядела работающей. Практически все на https, без бампинга никак, соответственно, нужно как-то впарить клиенту свой наколенный CA. Хотя, недавний опыт Казахстана показал, что хомячки и не такое проглотят...
сообщить модератору +/– ответить

Да, да Кроме того, многие сайты, особенно интернет-банкинги, чухают подмену сер, iiws (??), 09:21 , 30-Сен-19 (5)
>> Вы не боитесь ответственности за вмешательство в частную жизнь хомячков?
> Меня больше интересует вопрос, как в этой ситуации "провайдер" будет убеждать хомячков
> ставить на компы свой сертификат, чтобы эта идея хотя бы выглядела
> работающей. Практически все на https, без бампинга никак, соответственно, нужно как-то
> впарить клиенту свой наколенный CA. Хотя, недавний опыт Казахстана показал, что
> хомячки и не такое проглотят...
Да, да. Кроме того, многие сайты, особенно интернет-банкинги, чухают подмену сертификата и просто не работают или дают отлуп.
сообщить модератору +/– ответить

По идее это не совсем законно, провайдер ничего не должен менять в трафике клиен, iiws (??), 09:33 , 30-Сен-19 (6) +1
> Есть интернет провайдер, поступил заказ нужно реализовать подмену блоков рекламы через
> прозрачный прокси сквид (SQUID), как можно реализовать?Куча способов перепробовал, рабочих
> вариантов не нашел, за помощь буду очень признателен
По идее это не совсем законно, провайдер ничего не должен менять в трафике клиента, как к нему так и от него. Кроме того это будет являться нарушением федерального закона № 38 "О рекламе".
Люди платят деньги за баннерную и контекстную рекламу, а ваш провайдер решил лишить денег и заказчиков и исполнителей. Они могут наехать по суду, если узнают про такое дело, при наличии доказательств скриншотами.
сообщить модератору +1 +/– ответить

Я бы не расчитывал на доступность общего решения, тем более самопального Баннерн, Licha Morada (ok), 19:24 , 20-Май-20 (9) –1
Я бы не расчитывал на доступность общего решения, тем более самопального.
Баннерные сети разные, рекламные блоки они вставляет по своему. Кроме того, они, как и сайтостроители, заинтересованы в предотвращении подобных мер.
Единственный вариант который я вижу, это какое-нибудь коммерческое решение с подпиской на апдейты.
Всё это на грани фола, публика этим занимается скользкая.
Если из любопытства, то потрошите код популярных сайтов вручную, смотрите как именно вставляются блоки, подменяйте URL на свой сервер. Одного SQUID-а будет недостаточно, понадобится специально обученный веб сервер и ломать DNS. Будте готовы что придётся что-то специально писать для каждой комбинации сайт+баннерная сеть, и править при кажном чихе.
Как бизнес, для провайдера это будет дорого, для исполнителя плохая карма, плюс юридические риски для всех. Я уж не говорю о пользователях.
сообщить модератору –1 +/– ответить
По сути провайдер хочет украсть рекламный доход сайта Ту часть, которую принесл, Аноним (9), 16:36 , 25-Май-20 (11) +1
По сути провайдер хочет украсть рекламный доход сайта. Ту часть, которую принесли бы доходы от посетителей из его сети.
Сейчас абсолютно все рекламные сети работают через HTTPS. Именно чтобы грязные руки от трафика держать подальше.
Вместо этой наивной дурости я вам подскажу более удобную схему мошенничества.
Вы можете пользуясь пулом IP провайдера создать ботоферму, которая будет фальсифицировать просмотры и клики рекламы на каких-либо сайтах.
Так вы будете воровать у рекламодателей, а не у владельцев сайтов.
Лучше конечно вообще не работать на воров.
сообщить модератору +1 +/– ответить

Реверсный прокси Nginx не передает звук и динамическую графику,

chukcha, (Другие proxy) 04-Апр-20, 21:41 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте!
На ЛОРе обломились с этим вопросом, может, здесь найдутся знатоки реверсного прокси на основе  Nginx.
Нашлись нашлись сайты, где он оказался не в состоянии передавать звук и динамическую графику.
Вот пример одного из таких удивительных  сайтов:
http://websdr.ewi.utwente.nl:8901/
На этом сайте практически любой современный браузер при выборе опции HTML5 прекрасно воспроизводит как движущийся водопад (waterfall), так и звук радостанции.
Однако стоит пропустить этот сайт через реверсный прокси на основе Nginx c нижеизложенным фрагментом конфига, как теряется и водопад, и звук, остается только мертвая веб-страница.
Воможно ли исправить этот недостаток?
#---------------
    server {
server_name websdr.ewi.utwente.nl;
        listen      185.66.13.169:80;
        location / {
        proxy_pass       http://websdr.ewi.utwente.nl:8901;
        proxy_redirect default;
        proxy_set_header Host              $http_host;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Real-IP         $remote_addr;
                    }
           }
#--------------

Ответить | Сообщить модератору

Буферизацию отключите и протокол сделайте 1 1 , Аноним (9), 15:31 , 05-Апр-20 (2)
Буферизацию отключите и протокол сделайте 1.1.
сообщить модератору +/– ответить
попробуйте выключить буфер https nginx org ru docs http ngx_http_proxy_module , name (??), 17:00 , 09-Май-20 (3)
попробуйте выключить буфер https://nginx.org/ru/docs/http/ngx_http_proxy_module.html#pr...
сообщить модератору +/– ответить

Спасибо, уже решил этот вопрос, но возникла другая проблема - прокси показывает , Шилов (?), 18:39 , 09-Май-20 (4)
> попробуйте выключить буфер https://nginx.org/ru/docs/http/ngx_http_proxy_module.html#pr...
Спасибо, уже решил этот вопрос, но возникла другая проблема - прокси показывает не реальный IP посетителя, заходящего на сайт, а IP самого прокси.
Добавил в конфиг еще 2 строки, и получилось нижеследующее.
Однако IP все равно от прокси. Где же я ошибаюсь?
```
server {listen 185.33.33.33:80; # IP [и порт] реверсного прокси-сервера
location / {
proxy_pass http://94.22.22.22:2222; # URL [и порт] реального веб-сервера
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection «upgrade»;
proxy_redirect default;
proxy_set_header Host $http_host;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header X-Real-IP $remote_addr;
set_real_ip_from 185.33.33.33;
real_ip_header X-Real-IP;
}
}
```
сообщить модератору +/– ответить

Что значит прокси показывает Сайт, которой за прокси, ничего про, собственно, , Licha Morada (ok), 05:16 , 10-Май-20 (5)

> Спасибо, уже решил этот вопрос, но возникла другая проблема - прокси показывает
> не реальный IP посетителя, заходящего на сайт, а IP самого прокси.
Что значит "прокси показывает"?
Сайт, которой за прокси, ничего про, собственно, прокси знать не может. Для него прокси это клиент HTTP, генерирующий анормально высокий и разнообразный траффик с одного и того-же IP адреса.
Если сайту требуется знать IP настоящего клиента, то ему придётся кооперироваться с прокси и доверять ему, читая хедер X-Forwarded-For и/или Forwarded. Первый способ, ИМХО. более распостранён
https://en.wikipedia.org/wiki/X-Forwarded-For
> Добавил в конфиг еще 2 строки, и получилось нижеследующее.
> Однако IP все равно от прокси. Где же я ошибаюсь?
В концепции.
Веб сервер узнаёт IP клиента из параметров TCP сессии а не из хедеров. Там всегда будет IP прокси, иначе они не смогут обмениваться пакетами.
set_real_ip_from и real_ip_header это про другое.
сообщить модератору +/– ответить

b Licha Morada b А если придется доверять , то это чем-то плохо в плане без, Шилов (?), 21:36 , 10-Май-20 (6)
Licha Morada
> Если сайту требуется знать IP настоящего клиента, то ему придётся
> кооперироваться с прокси и доверять ему, читая хедер X-Forwarded-For
> и/или Forwarded.
> Первый способ, ИМХО. более распостранён
> https://en.wikipedia.org/wiki/X-Forwarded-For
А если "придется...доверять", то это чем-то плохо в плане безопасности, или как?
>> Добавил в конфиг еще 2 строки, и получилось нижеследующее.
>> Однако IP все равно от прокси. Где же я ошибаюсь?
> В концепции.
Понятно :) Ну, раз моя концепция плоха, то покажу ее в действии на реальном сервере, надеясь, что вы ее, в виде конфига, подправите.
К примеру, есть такой сайт - http://74.118.150.6:8901/
Если зайти на него, то в самом низу, где черные поля, он обязательно покажет ваш IP.
На своем прокси-сервере 185.66.13.169 смастерил такой фрагмент конфига Nginx -
```
server {
         listen       185.66.13.169:80;         # IP [и порт] реверсного прокси-сервера
         location / {
             proxy_pass       http://74.118.150.6:8901;   # URL [и порт] реального веб-сервера             proxy_http_version 1.1;
             proxy_set_header Upgrade $http_upgrade;
             proxy_set_header Connection "upgrade";
             proxy_redirect   default;
             proxy_set_header Host              $http_host;
             proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
             proxy_set_header X-Forwarded-Proto $scheme;
             proxy_set_header X-Real-IP         $remote_addr;
            set_real_ip_from 185.66.13.169;
            real_ip_header X-Real-IP;
                     }
         }
```
Но поскольку моя концепция плоха, то при заходе на этот прокси он каждый раз показывает IP не посетителя, а IP самого прокси, т.е. 185.66.13.169.
Подскажите, плиз, как нужно подправить эту концепцию в конфиге, чтобы он показывал реальный IP посетителя? ;)
Самому с этой задачей мне не удается справиться, несмотря на вашу подсказку на вики.
сообщить модератору +/– ответить

Или как Представьте себе, сидите вы у себя в кабинете, открывается дверь и заход, Licha Morada (ok), 01:18 , 11-Май-20 (7)
> А если "придется...доверять", то это чем-то плохо в плане безопасности, или как?
Или как.
Представьте себе, сидите вы у себя в кабинете, открывается дверь и заходит ваша секретарша Maша, которая говорит:
- Здравствуйте. Вам звонил Матвей Иванович, просил передать что...
И тут вы её строго обрывате:
- Маша, сколько раз вам надо повторять? Я не могу принимать сообщения от других людей, когда их содержимое произносите вы! Мне надо видеть перед собой настоящий источник, иначе это плохо в плане безопасности. Если вам есть что предать мне от Матвея Изановича, то будте добры, загримируйтесь под него как следует, у уже тогда приходите. А то как я могу поверить, что это сообщение от Матвея Ивановича, когда вижу перед собой вас, Машу?

> Подскажите, плиз, как нужно подправить эту концепцию в конфиге, чтобы он показывал
> реальный IP посетителя? ;)
Боюсь что никак.
Только средствами конфига своего прокси, вы не заставите сайт http://74.118.150.6:8901/ показывать настоящий адрес клиента.
Это зависит не столько от прокси, сколько а от того, как запрограммирован сайт. Его можно было бы запрограммировать иначе, это может сделать хозяин сайта.
Вообще, оно вам зачем?
сообщить модератору +/– ответить

b Licha Morada b Спасибо за столь развернутый ответ про Машу и медведей, но я , Шилов (?), 06:56 , 11-Май-20 (8)
Licha Morada
Спасибо за столь развернутый ответ про Машу и медведей, но я из него мало что понял :)
Мне бы попроще - пострадает ли безопасность, чья и почему.
Ну да ладно. Важнее второй вопрос.

>> Подскажите, плиз, как нужно подправить эту концепцию в конфиге, чтобы он показывал
>> реальный IP посетителя? ;)
> Боюсь что никак.
> Только средствами конфига своего прокси, вы не заставите сайт http://74.118.150.6:8901/
> показывать настоящий адрес клиента.
> Это зависит не столько от прокси, сколько а от того, как запрограммирован
> сайт. Его можно было бы запрограммировать иначе, это может сделать хозяин
> сайта.
Жаль, жаль.. Влияния на софт того веб-сайта у меня нет, так что придется смириться.

> Вообще, оно вам зачем?
Пытаюсь создать аналогичный радиосайт. Но дело в том, что разработчик движка радиосайта прямо предупреждает, что он не гарантирует отсутствие уязвимостей, через который он может быть взломан, и рекомендует иметь это в виду.
Вот я и пытаюсь "иметь это в виду", защитив его промежуточным реверсным прокси.
Если кому охота его ломать - на здоровье, вряд ли они найдут в Nginx серьезные уязвимости, поскольку Сысоев его активно поддерживает.
Побочный эффект такой прокси-защиты - потеря отображения реальных IP посетителей.
Ладно, а можна хотя бы вместо IP прокси, который присваивается всем посетителям, что выглядит не очень красиво, отображать какой-нибудь стринг?
Например, "Your IP hidden".
Это будет более понятно и корректно.
сообщить модератору +/– ответить

Очень грубо говоря - скорее всего нет А точнее, нет такой вещи как безопасность, Licha Morada (ok), 20:28 , 11-Май-20 (9)

> Мне бы попроще - пострадает ли безопасность, чья и почему.
Очень грубо говоря - скорее всего нет.
А точнее, нет такой вещи как "безопасность" вообще. Надо идентифицировать риски, отдавать себе отчёт от чего конкретно надо защищаться (называется "модель угрозы") и на основе этого оценивать, как повлияют на защищённость те или иные меры. Тогда можно будет сказать, пострадет ли безопасность.

>> Вообще, оно вам зачем?
> Пытаюсь создать аналогичный радиосайт. Но дело в том, что разработчик движка
> радиосайта прямо предупреждает, что он не гарантирует отсутствие уязвимостей, через который
> он может быть взломан, и рекомендует иметь это в виду.
Если вы у себя собираетесь движок разворачивать, то у вас есть влияние на веб сайт.
Вам придётся залезть в код, найти где и как как он определят текст, который надо показывать в качестве IP клиента, и дополнить его парсингом хедера X-Forwarded-For. Или писать "Your IP hidden".
> Вот я и пытаюсь "иметь это в виду", защитив его промежуточным реверсным
> прокси.
Сам факт наличия промежуточного прокси защиты добавляет мало. Если он просто транслирует всё как есть, то он пропустит "атаку" как любой другой запрос.
Обратным прокси можно достичь нескольких полезных вещей.
Например, терминировать TLS сессии, а именно публиковать HTTPS даже если апстрим умеет только HTTP.
Или разрешать доступ в определённому пути в URL, вместо корня сайта.
Или фильтровать клиентов по IP.
Или ограничивать интенсивность траффика от конкретных клиентов.
Иногда это даёт необходмую защиту. Иногда нет, зависит от сайта и модели угрозы.
Чтобы защитить дырявый движок обратным прокси, по меньщей мере надо конкретно знать, какие дырки закрывать и как выглядит атака на каждую из них. Неблагодарное занятие.

сообщить модератору +/– ответить

Хорошо, я согласен Как это сделать , Шилов (?), 00:43 , 12-Май-20 (10)
> Или писать "Your IP hidden".
Хорошо, я согласен :) Как это сделать?
сообщить модератору +/– ответить

Вопрос не по адресу Надо править либо код движка, либо конфигурацию Возможно, с, Licha Morada (ok), 01:52 , 12-Май-20 (11)
>> Или писать "Your IP hidden".
> Хорошо, я согласен :) Как это сделать?
Вопрос не по адресу. Надо править либо код движка, либо конфигурацию.
Возможно, с поддержкой автора движка. Кстати, почему бы вам с нему не обратиться? Предположите что он берёт адрес клиента из переменной окружения HTTP_CLIENT_IP или HTTP_REMOTE_ADDR, а вам хочется его брать из HTTP_X_FORWARDED_FOR или HTTP_VIA. И как бы это половчей сделать.
сообщить модератору +/– ответить

Автор уже много лет как забросил его и на все просьбы его хоть чуток модернизиро, Шилов (?), 01:55 , 12-Май-20 (12)
> Возможно, с поддержкой автора движка. Кстати, почему бы вам с нему не
> обратиться?
Автор уже много лет как забросил его и на все просьбы его хоть чуток модернизировать отвечает отрицательно.
сообщить модератору +/– ответить

Тогда погрустим , Licha Morada (ok), 18:10 , 12-Май-20 (13)
Тогда погрустим.
сообщить модератору +/– ответить

Все же мне, как дилетатнту, кажется, что тут не веб-сервер виноват, а реверсный, Шилов (?), 23:28 , 12-Май-20 (14)
Все же мне, как дилетатнту, кажется, что тут не веб-сервер виноват, а реверсный Nginx-прокси, который ^пока^ не понимает и не передает реальный IP.
Ведь веб-сервер отдает реальный IP? Отдает. Причем неважно кому - реальному посетителю или прокси.
А вот реверсный прокси его "срезает".
Если бы, к примеру, создали к Nginx какой-то плагин, что ли, и тогда реальный IP отображался бы.
сообщить модератору +/– ответить
Если вы перехватите трафик между сервером и прокси, то увидете что веб-сервер в , Licha Morada (ok), 00:24 , 13-Май-20 (15)
Если вы перехватите трафик между сервером и прокси, то увидете что веб-сервер в теле страницы отдает тот IP адрес прокси сервера. Прокси же транслирует этот ответ без изменений.
Реальный IP никто никуда специально не передаёт, и срезать его негде.
Сервер узнаёт адрес IP из параметров сессии TCP/IP. При общении через прокси, устанавливаются две разные сессии, одна от клиента к прокси, где в качестве источника видно адрес клиента, другая от прокси к серверу, где видно источнико выступает уже адрес прокси. Конструкция так и задумана, чтобы изолировать эти сессии одну от другой на сетевом уровне.
Собствено, Nginx-прокси реальный IP клиента серверу таки передаёт, но имеет в своём распоряжении только уровень приложения, чем и пользуется, формируя информацию в виде специального хедера HTTP.

> Если бы, к примеру, создали к Nginx какой-то плагин, что ли, и
> тогда реальный IP отображался бы.
Есть такой достаточно грязный хак. Мы его иногда используем, в качестве временной меры и обвешиваем со всех сторон красными флажками. Скорее всего, он доставит больше проблем чем решит, но раз вам так приспичело...
Короче, Nginx умеет делать подстаноку текста на лету (search and replace). И если вы его должным образом сконфигурируете, то он может ответах сервера, перед тем как передать их клиенту, заменять текст "Вася Пупкин" на "Пупа Васькин", а текст "185.66.13.169" на содержимое $remote_addr. Подстановка совершенно тупая, и что то неё начнёт глючить - ХЗ. Но в теле ответа который получит клиентвместо адреса прокси окажется его собственный адрес.
Делать так: http://nginx.org/en/docs/http/ngx_http_sub_module.html
Феномен Энциклонгов обусловлен похожим решением.
сообщить модератору +/– ответить
Поэтому и говорю - вопрос дилетанта Но вы так толково объяснили, особенно с гр, Шилов (?), 00:39 , 13-Май-20 (16)
> Подстановка совершенно тупая, и что то неё начнёт глючить - ХЗ.
> Но в теле ответа который получит клиентвместо адреса прокси
> окажется его собственный адрес.
> Скорее всего, он доставит больше проблем чем решит,
> но раз вам так приспичело...
Поэтому и говорю - вопрос дилетанта :)
Но вы так толково объяснили, особенно с грязным хаком, что решил отказаться от этого замысла. Спасибо за разъяснение! :)
Уберу совсем окно с отображением IP, да и ладно.
Потому что на очереди другая, более актуальная проблема: сжатие трафика на лету.
Не знаю, по адресу ли обращаюсь, но на всякий случай спрошу:
- если ли готовые программные решения по сжатию двухстороннего трафика на лету?
Т.е. между 2-мя серверами.
Имеющийся трафик имеет скорость 200 Мбит/с, а мне бы очень хотелось бы его втиснуть в 100 Мбит, причем с минимальной задержкой.
сообщить модератору +/– ответить
Обычно сжатие непосредственно в протокол высокого уровня встраивают Возможно, он, Licha Morada (ok), 00:48 , 13-Май-20 (17)
> если ли готовые программные решения по сжатию двухстороннего трафика на лету?
Обычно сжатие непосредственно в протокол высокого уровня встраивают.
Возможно, оно уже используется.
Если это всё про тот-же самый прокси, то https://nginx.org/en/docs/http/ngx_http_gzip_module.html
Если абстрагироваться, то вам придётся строить оверлейную сеть ( https://en.wikipedia.org/wiki/Overlay_network ) с поддержкой сжатия.
сообщить модератору +/– ответить
Про опцию gzip в обычных веб-сайтах в курсе Но тут речь не о том прокси , а о, Шилов (?), 01:19 , 13-Май-20 (18)
> Обычно сжатие непосредственно в протокол высокого уровня встраивают.
> Возможно, оно уже используется.
> Если это всё про тот-же самый прокси, то https://nginx.org/en/docs/http/ngx_http_gzip_module.html
Про опцию 'gzip' в обычных веб-сайтах в курсе.
Но тут речь не о "том прокси", а о веб-сервере WebSDR, который, в свою очередь, обменивается данными с удаленным сервером RTL-SDR.
Встроено ли сжатие или нет, неизвестно, исходного кода нет.
Но трафик жрет немеряно, так что, имхо, ничего не встроено.

> Если абстрагироваться, то вам придётся строить оверлейную сеть ( https://en.wikipedia.org/wiki/Overlay_network
> ) с поддержкой сжатия.
Посмотрел на эту чудо-сеть - и понял, что дешевле доплатить провайдеру за более широкий канал :)
сообщить модератору +/– ответить

Подмена операционной ситемы в Squid3,

Jose, (Squid) 08-Июн-20, 21:23 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день.
Есть возможность настроить подмену операционной системы в Squid3 через header_replace или как-то ещё?
Спасибо.

Ответить | Сообщить модератору

https stackoverflow com questions 22597186 make-squid-proxy-transparent-for-us, Pahanivo пробегал (?), 22:12 , 08-Июн-20 (1)
> Есть возможность настроить подмену операционной системы в Squid3 через header_replace
> или как-то ещё?
https://stackoverflow.com/questions/22597186/make-squid-prox...
тут вроде как наоборот, но понятно что к чему.
сообщить модератору +/– ответить
CODE request_header_access User-Agent deny allrequest_header_replace User-Agent, Аноним (2), 13:16 , 09-Июн-20 (2)
request_header_access User-Agent deny all
request_header_replace User-Agent "Mozilla"
про ssl_bump не забудь, если еще не настроил
сообщить модератору +/– ответить

Спасибо, так могло бы заработать, но вот настроить SSL Bumping у меня похоже не , Jose (?), 00:42 , 10-Июн-20 (3)
>

> request_header_access User-Agent deny all
> request_header_replace User-Agent "Mozilla"
>
> про ssl_bump не забудь, если еще не настроил
Спасибо, так могло бы заработать, но вот настроить SSL Bumping у меня похоже не получится так сходу:((
В configure options отсутствует вот эти значения --enable-ssl-crtd и --with-openssl.
configure options: '--build=x86_64-linux-gnu' '--prefix=/usr' '--includedir=${prefix}/include' '--mandir=${prefix}/share/man' '--infodir=${prefix}/share/info' '--sysconfdir=/etc' '--localstatedir=/var' '--libexecdir=${prefix}/lib/squid3' '--srcdir=.' '--disable-maintainer-mode' '--disable-dependency-tracking' '--disable-silent-rules' 'BUILDCXXFLAGS=-g -O2 -fdebug-prefix-map=/build/squid3-Y9AUw_/squid3-3.5.27=. -fstack-protector-strong -Wformat -Werror=format-security -Wno-error=deprecated -Wno-error=format-truncation -Wdate-time -D_FORTIFY_SOURCE=2 -Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed' '--datadir=/usr/share/squid' '--sysconfdir=/etc/squid' '--libexecdir=/usr/lib/squid' '--mandir=/usr/share/man' '--enable-inline' '--disable-arch-native' '--enable-async-io=8' '--enable-storeio=ufs,aufs,diskd,rock' '--enable-removal-policies=lru,heap' '--enable-delay-pools' '--enable-cache-digests' '--enable-icap-client' '--enable-follow-x-forwarded-for' '--enable-auth-basic=DB,fake,getpwnam,LDAP,NCSA,NIS,PAM,POP3,RADIUS,SASL,SMB' '--enable-auth-digest=file,LDAP' '--enable-auth-negotiate=kerberos,wrapper' '--enable-auth-ntlm=fake,smb_lm' '--enable-external-acl-helpers=file_userip,kerberos_ldap_group,LDAP_group,session,SQL_session,time_quota,unix_group,wbinfo_group' '--enable-url-rewrite-helpers=fake' '--enable-eui' '--enable-esi' '--enable-icmp' '--enable-zph-qos' '--enable-ecap' '--disable-translation' '--with-swapdir=/var/spool/squid' '--with-logdir=/var/log/squid' '--with-pidfile=/var/run/squid.pid' '--with-filedescriptors=65536' '--with-large-files' '--with-default-user=proxy' '--enable-build-info=Ubuntu linux' '--enable-linux-netfilter' 'build_alias=x86_64-linux-gnu' 'CFLAGS=-g -O2 -fdebug-prefix-map=/build/squid3-Y9AUw_/squid3-3.5.27=. -fstack-protector-strong -Wformat -Werror=format-security -Wall' 'LDFLAGS=-Wl,-Bsymbolic-functions -Wl,-z,relro -Wl,-z,now -Wl,--as-needed' 'CPPFLAGS=-Wdate-time -D_FORTIFY_SOURCE=2' 'CXXFLAGS=-g -O2 -fdebug-prefix-map=/build/squid3-Y9AUw_/squid3-3.5.27=. -fstack-protector-strong -Wformat -Werror=format-security -Wno-error=deprecated -Wno-error=format-truncation'
сообщить модератору +/– ответить

Значит перекомпилировать пакет придется заново с этими флагами, но больше беспок, Jose (?), 02:46 , 11-Июн-20 (4)
>>

>> request_header_access User-Agent deny all
>> request_header_replace User-Agent "Mozilla"
>>
>> про ssl_bump не забудь, если еще не настроил
> Спасибо, так могло бы заработать, но вот настроить SSL Bumping у меня
> похоже не получится так сходу:((
> В configure options отсутствует вот эти значения --enable-ssl-crtd и --with-openssl.
Значит перекомпилировать пакет придется заново с этими флагами, но больше беспокоит что начнуться потом проблемы с подменой серификатов на определенных сайтах, нужно будет вайтлисты составлять, проще забить на это)
>[оверквотинг удален]
> '--enable-external-acl-helpers=file_userip,kerberos_ldap_group,LDAP_group,session,SQL_session,time_quota,unix_group,wbinfo_group'
> '--enable-url-rewrite-helpers=fake' '--enable-eui' '--enable-esi' '--enable-icmp'
> '--enable-zph-qos' '--enable-ecap' '--disable-translation' '--with-swapdir=/var/spool/squid'
> '--with-logdir=/var/log/squid' '--with-pidfile=/var/run/squid.pid' '--with-filedescriptors=65536'
> '--with-large-files' '--with-default-user=proxy' '--enable-build-info=Ubuntu linux'
> '--enable-linux-netfilter' 'build_alias=x86_64-linux-gnu' 'CFLAGS=-g -O2 -fdebug-prefix-map=/build/squid3-Y9AUw_/squid3-3.5.27=.
> -fstack-protector-strong -Wformat -Werror=format-security -Wall' 'LDFLAGS=-Wl,-Bsymbolic-functions
> -Wl,-z,relro -Wl,-z,now -Wl,--as-needed' 'CPPFLAGS=-Wdate-time -D_FORTIFY_SOURCE=2'
> 'CXXFLAGS=-g -O2 -fdebug-prefix-map=/build/squid3-Y9AUw_/squid3-3.5.27=. -fstack-protector-strong
> -Wformat -Werror=format-security -Wno-error=deprecated -Wno-error=format-truncation'
сообщить модератору +/– ответить

после добавления коренного сертификата в систему особых проблем нет, только хром, Аноним (2), 10:58 , 11-Июн-20 (5)
>нужно будет вайтлисты составлять
после добавления коренного сертификата в систему особых проблем нет, только хром может выводить предупреждение.
Если вы хотите подменять user-agent для браузера, то почему не использовать аддон?
сообщить модератору +/– ответить


Пометить прочитанным Создать тему	1 \| 2 \| 3 \| 4 \| 5 \| 6 \| 7 \| 8 \| 9 \| 10 \| Архив \| Избранное \| Мое \| Новое \| ☳ \| ☶ \| ⚟