форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Информационная безопасность (VPN, IPSec / Linux)
Изначальное сообщение		[ Отслеживать ]

"Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
Сообщение от mexel (ok) on 24-Ноя-14, 21:27
Доброго времени суток, помогите пожалуйста новичку! Задача: Нужно чтобы сервер(с1) не знал что трафик к нему идет от сервера(с2). с1 знает IP с2, поэтому надо как-то изменить заголовок пакетов. К настройкам с1 я доступа не имею, на с2 я могу прописать только адрес и порт куда ему послать трафик. Никаких настроек прокси и т.п. там нет. Все сервера и я находимся в разных странах.Я решил (возможно ошибся) что можно изменить src_addr пробросив трафик через себя, т.е. сказать с2 направлять трафик на мой внешний адрес, который я имею когда поднимаю VPN и переправлять пакеты на с1 через шлюз моего провайдера доступа в интернет(3G-modem). Но у меня ничего не выходит. Проброс трафика получается только если использовать шлюз VPN-a, но тогда нет смысла. Если я пробрасываю внешний IP на сайт который показывает IP (2ip.ru и т.п.) через шлюз VPN-a, то вижу тот-же IP,  как если бы я просто зашел на этот сайт без всяких пробросов. А надо чтоб показался адрес выданный мне 3G-провайдером. Несколько дней рылся в гугле, но ничего подобного не нашел. Может этот вариант вообще тупиковый? Но как тогда решить задачу?
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
Сообщение от reader (ok) on 24-Ноя-14, 21:52
>[оверквотинг удален] > себя, т.е. сказать с2 направлять трафик на мой внешний адрес, который > я имею когда поднимаю VPN и переправлять пакеты на с1 через > шлюз моего провайдера доступа в интернет(3G-modem). Но у меня ничего не > выходит. Проброс трафика получается только если использовать шлюз VPN-a, но тогда > нет смысла. Если я пробрасываю внешний IP на сайт который показывает > IP (2ip.ru и т.п.) через шлюз VPN-a, то вижу тот-же IP, >  как если бы я просто зашел на этот сайт без > всяких пробросов. А надо чтоб показался адрес выданный мне 3G-провайдером. >  Несколько дней рылся в гугле, но ничего подобного не нашел. Может > этот вариант вообще тупиковый? Но как тогда решить задачу? https://www.opennet.ru/openforum/vsluhforumID10/4997.html
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 24-Ноя-14, 22:55
	> https://www.opennet.ru/openforum/vsluhforumID10/4997.html Спасибо за отклик! Очень похожее находил на этом форуме. www.opennet.ru/openforum/vsluhforumID10/5058.html Кароче то-же, только в профиль :) Если шлюз по умолчанию 3G то также не работает, если шлюз туннеля то трафик проходит, но нет маскировки. whatsmyip.org показывает тот адрес с которого пошел запрос. А надо чтоб показал IP от 3G   Не знаю уже как колдовать эти два шлюза :(
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 24-Ноя-14, 23:23
	>> https://www.opennet.ru/openforum/vsluhforumID10/4997.html > Спасибо за отклик! > Очень похожее находил на этом форуме. www.opennet.ru/openforum/vsluhforumID10/5058.html > Кароче то-же, только в профиль :) > Если шлюз по умолчанию 3G то также не работает, если шлюз туннеля > то трафик проходит, но нет маскировки. whatsmyip.org показывает тот адрес с > которого пошел запрос. А надо чтоб показал IP от 3G >   Не знаю уже как колдовать эти два шлюза :( Шлюзом должен быть ip который за 3G модемом. Для изменения src_addr в пакете на интерфейсе который делает 3G модем нужно сделать SNAT или MASQUERADE и echo 1  > /proc/sys/net/ipv4/ip_forward для разрешения пересылки , а так же разрешить прохождение пакетов через firewall
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 25-Ноя-14, 11:37
	> Шлюзом должен быть ip который за 3G модемом. > Для изменения src_addr в пакете на интерфейсе который делает 3G модем нужно > сделать SNAT или MASQUERADE и echo 1  > /proc/sys/net/ipv4/ip_forward для > разрешения пересылки , а так же разрешить прохождение пакетов через firewall шлюз -3G делал iptables -t nat -F перед этим: iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j DNAT --to-destination 208.64.38.55:80 iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j SNAT --to-source 46.183.167.72 /proc/sys/net/ipv4/ip_forward  там уже 1 По файрволу - вроде ничего не блочится, систему только поставил. А вообще, как проверить?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 25-Ноя-14, 11:57
	>[оверквотинг удален] >> разрешения пересылки , а так же разрешить прохождение пакетов через firewall > шлюз -3G > делал iptables -t nat -F перед этим: > iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j > DNAT --to-destination 208.64.38.55:80 > iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j > SNAT --to-source 46.183.167.72 > /proc/sys/net/ipv4/ip_forward  там уже 1 > По файрволу - вроде ничего не блочится, систему только поставил. А вообще, > как проверить? tcpdump -n -i vpn_интерфейс tcpdump -n -i 3g_интерфейс vpn поднят между с2 и домашней машиной или vpn-сервер это что-то отдельное в инете? если отдельное проверте куда уходят ответы от с1, в туннель или к провайдеру 3g.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	6. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 25-Ноя-14, 12:29
	>[оверквотинг удален] >> SNAT --to-source 46.183.167.72 >> /proc/sys/net/ipv4/ip_forward  там уже 1 >> По файрволу - вроде ничего не блочится, систему только поставил. А вообще, >> как проверить? > tcpdump -n -i vpn_интерфейс > tcpdump -n -i 3g_интерфейс > vpn поднят между с2 и домашней машиной или vpn-сервер это что-то отдельное > в инете? > если отдельное проверте куда уходят ответы от с1, в туннель или к > провайдеру 3g. c1 и с2 живут своими жизнями. могу повлиять только на с2 - поменять адрес и порт куда послать трафик и все (никаких прокси,тунелей и т.п.). туннель поднимаю для того чтоб у меня появился белый(внешний) адрес (46.183.167.72). Просто одна фирма в интернете за недорого дает туннель с внешним фиксированным адресом. tcpdump -n -i 3g_интерфейс - показал кое-что интересное: 12:16:55.772562 IP 46.183.167.72.41384 > 208.64.38.55.80: Flags [S], seq 500676429, win 5840, options [mss 1400,sackOK,TS val 930035 ecr 0,nop,wscale 6], length 0 Т.е. трафик от моего внешнего адреса заворачивается в 3G. Но ответных пакетов от 208.64.38.55.80 на 3G че-то нет. Как будто 208.64.38.55.80 отвечает на 46.183.167.72.41384 а не на адрес 3G? tcpdump -n -i vpn_интерфейс -только это: 12:17:16.908450 IP 85.26.186.142.41393 > 46.183.167.72.800: Flags [S], seq 4170132631, win 5840, options [mss 1400,sackOK,TS val 935285 ecr 0,nop,wscale 6], length 0 85.26.186.142.41393 - это я захожу на свой внеш адрес с мегафон-смарта. других пакетов - нет
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	7. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 25-Ноя-14, 12:55
	>[оверквотинг удален] > поменять адрес и порт куда послать трафик и все (никаких прокси,тунелей > и т.п.). туннель поднимаю для того чтоб у меня появился белый(внешний) > адрес (46.183.167.72). Просто одна фирма за недорого дает туннель с внешним > фиксированным адресом. > tcpdump -n -i 3g_интерфейс - показал кое-что интересное: > 12:16:55.772562 IP 46.183.167.72.41384 > 208.64.38.55.80: Flags [S], seq 500676429, win > 5840, options [mss 1400,sackOK,TS val 930035 ecr 0,nop,wscale 6], length 0 > Т.е. трафик от моего внешнего адреса заворачивается в 3G. Но ответных пакетов > от 208.64.38.55.80 на 3G че-то нет. >  Как будто 208.64.38.55.80 отвечает на 46.183.167.72.41384 а не на адрес 3G? в snat указываете ip который получаете при поднятии 3g, который на 3g_интерфейсе, а не от vpn
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	8. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 25-Ноя-14, 20:23
	> в snat указываете ip который получаете при поднятии 3g, который на 3g_интерфейсе, > а не от vpn тут Вы правы! Теперь я получаю ответный пакет от whatsmyip.org (208.64.38.55.80): 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, options [nop,nop,TS val 245469957 ecr 7806294], length 0 192.168.2.101 - это мой 3G, просто он сейчас в рутер воткнут, но смысл не меняется. Ну а правила таковы: iptables -t nat -I POSTROUTING -d 208.64.38.55 -p tcp --dport 80 -j SNAT --to-source 192.168.2.101 iptables -t nat -A PREROUTING -d 46.183.167.72 -p tcp --dport 800 -j DNAT --to-destination 208.64.38.55:80 Подытожу: 1. сайчас уже пакет от мегафон-смартфона через внешний адрес попадает ко мне: 19:44:23.372858 IP 85.26.183.58.15622 > 46.183.167.72.800: Flags [S], seq 1383624355, win 5840, options [mss 1400,sackOK,TS val 7642829 ecr 0,nop,wscale 6], length 0 2. Я его отправляю на whatsmyip.org (208.64.38.55.80): 19:55:17.248090 IP 192.168.2.101.15624 > 208.64.38.55.80: Flags [S], seq 1734350540, win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length 0 3. whatsmyip.org (208.64.38.55.80) мне отвечает: 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, options [nop,nop,TS val 245469957 ecr 7806294], length 0 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от туннеля, а он сечас не дефолт. Пожалуйста помогите замкнуть цепь!
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	9. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 25-Ноя-14, 20:47
	>[оверквотинг удален] > 19:55:17.248090 IP 192.168.2.101.15624 > 208.64.38.55.80: Flags [S], seq 1734350540, > win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length > 0 > 3. whatsmyip.org (208.64.38.55.80) мне отвечает: > 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, > options [nop,nop,TS val 245469957 ecr 7806294], length 0 > 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае > мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от > туннеля, а он сечас не дефолт. > Пожалуйста помогите замкнуть цепь! вы можете на vpn-сервере сделать snat на vpn интерфейсе?
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	10. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 25-Ноя-14, 21:15
	>[оверквотинг удален] >> win 5840, options [mss 1400,sackOK,TS val 7806294 ecr 0,nop,wscale 6], length >> 0 >> 3. whatsmyip.org (208.64.38.55.80) мне отвечает: >> 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, >> options [nop,nop,TS val 245469957 ecr 7806294], length 0 >> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае >> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от >> туннеля, а он сечас не дефолт. >> Пожалуйста помогите замкнуть цепь! > вы можете на vpn-сервере сделать snat на vpn интерфейсе? врядли... А если поднять виртуалку и на ней поднимать vpn ?
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 25-Ноя-14, 21:26
	>[оверквотинг удален] >>> 3. whatsmyip.org (208.64.38.55.80) мне отвечает: >>> 19:55:18.138914 IP 208.64.38.55.80 > 192.168.2.101.15624: Flags [.], ack 1, win 65535, >>> options [nop,nop,TS val 245469957 ecr 7806294], length 0 >>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае >>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от >>> туннеля, а он сечас не дефолт. >>> Пожалуйста помогите замкнуть цепь! >> вы можете на vpn-сервере сделать snat на vpn интерфейсе? > врядли... > А если поднять виртуалку и на ней поднимать vpn ? тогда покаместь на домашней машине route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	12. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 25-Ноя-14, 22:40
	>[оверквотинг удален] >>>> options [nop,nop,TS val 245469957 ecr 7806294], length 0 >>>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае >>>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от >>>> туннеля, а он сечас не дефолт. >>>> Пожалуйста помогите замкнуть цепь! >>> вы можете на vpn-сервере сделать snat на vpn интерфейсе? >> врядли... >> А если поднять виртуалку и на ней поднимать vpn ? > тогда покаместь на домашней машине > route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !! Но судя по tcpdump - трафик идет как надо. Попробую, может для меня и так сойдет. Тaм не HTTP. Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно ведь сработать?
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	13. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от reader (ok) on 25-Ноя-14, 23:36
	>[оверквотинг удален] >>>>> 4. Осталось мне как-то передать пакет из п.3 инициатору (в данном случае >>>>> мегафон-смарт, IP 85.26.183.58). Т.е. теперь похоже надо как-то припахать шлюз от >>>>> туннеля, а он сечас не дефолт. >>>>> Пожалуйста помогите замкнуть цепь! >>>> вы можете на vpn-сервере сделать snat на vpn интерфейсе? >>> врядли... >>> А если поднять виртуалку и на ней поднимать vpn ? >> тогда покаместь на домашней машине >> route add -host 85.26.183.58 gw ip.vpn_интерфейса.vpn_сервера > Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !! 85.26.183.58 это ip на устройстве с которого обращаетесь или на устройстве серый ip? > Но судя по tcpdump - трафик идет как надо. Попробую, может > для меня и так сойдет. Тaм не HTTP. > Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно > ведь сработать? вместо vpn сервера? попробуйте, если на устройстве серый ip, то даже с http 85.26.183.58 не должен был появится, можете с помощью tcpdump посмотреть что именно было в данных пакетов
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	14. "Возможно ли изменить src_addr с помощью VPN+внешний IP?"	+/–
	Сообщение от mexel (ok) on 26-Ноя-14, 09:11
	>[оверквотинг удален] >> Х)) Х)) Х)) whatsmyip.org - не прошибаемый! все равно кажет 85.26.183.58 !! > 85.26.183.58 это ip на устройстве с которого обращаетесь или на устройстве серый > ip? >> Но судя по tcpdump - трафик идет как надо. Попробую, может >> для меня и так сойдет. Тaм не HTTP. >> Может обойдусь и статическими маршрутами, но если что с виртуальной машиной должно >> ведь сработать? > вместо vpn сервера? попробуйте, если на устройстве серый ip, то даже с > http 85.26.183.58 не должен был появится, можете с помощью tcpdump посмотреть > что именно было в данных пакетов 85.26.183.58 это ip на устройстве с которого обращаюсь на белый адрес. 85.26.183.58 - серый внешний адрес(просто сим от мегафона стоит в смартфоне). этот адрес также высвечивается если просто зайти со смартфона на whatsmyip.org А ПК у которого vpn+белый ip - подключен к рутеру с 3G-модемом билайн. У самого 3G-модема билайн - внешний адрес тоже серый. Я имел ввиду - поднять на ПК еще и виртуальную ОС и уже в ней поднимать VPN+белый IP. Чтоб не заниматься постоянным дописыванием статических маршрутов.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема