翻來翻去的筆記: Proxy、VPN 和 SSH Tunnel、iptables port forwarding 混用

有想要翻出去，就會有人想要翻進去 XD 在指定國家內架一檯 server ，提供 proxy 、 VPN 服務，提供另一個國家連線，這是一個滿常見的做法，只是，如果國家網路掌控很威，那需要嘗試一些小手段：

前提：

自家機器 IP: localhost , 可用 local_port
指定國家 SERVER IP: x.x.x.x , target service port: xx
第二國家 SERVER IP: y.y.y.y , port forward: yy

SSH Tunnel

假設在指定國家內的 server 服務都是跑 TCP 時，如果直接連它還是不夠順，那就試試 Service over SSH tunnel 吧！

$ ssh -N -L local_port:x.x.x.x:xx x.x.x.x

如此一來，原先的服務就可以改連 localhost:local_port 代替 x.x.x.x:xx 服務。若 ssh tunnel 需要斷掉還能自動重連，在 Ubuntu 就是用 autossh ，把 ssh 指令換成 autossh 即可。若開機就執行，就寫在 /etc/rc.local，另外也用 key-pair 登入來取代密碼輸入：

$ sudo vim /etc/rc.local
su -s /bin/sh account -c 'autossh -N -f -L x.x.x.x:xx x.x.x.x'

有時候單純是 routing table 的問題，需要假藉另一個國家 y.y.y.y 當跳板，這時 TCP/UDP 都可以用 iptables 處理掉(-p tcp 或 -p udp)，在 y.y.y.y 機器設定：

$ iptables -A PREROUTING -t nat -i eth0 -p tcp --dport yy -j DNAT --to x.x.x.x:xx
$ iptables -A FORWARD -p tcp -d x.x.x.x --dport xx -j ACCEPT

如此一來，連 y.y.y.y:yy 等同連到 x.x.x.x:xx 。

此外，純 TCP 在 Ubuntu 中還可以透過 redir 套件來處理，若 redir 已安裝好後，好處相較于 iptables 可以不需要 root 權限：

$ redir --lport yy --laddr=y.y.y.y --cport=xx --caddr=x.x.x.x

以 Proxy、VPN 這類服務而言，大概能搞的招數就這些吧，例如 Proxy over SSH tunnel 或甚至 SSH tunnel 是從第二國家建立，以此強制 routing 的改變。

[Linux] VPN (L2TP) 與使用 iptable 設定 Port forward @ Ubuntu 12.04

這樣的標題不是很恰當，但我暫時想不到好的方式。

使用情境：

• 有 A, B 兩檯在不同國家的機器
• 對 A 機器而言，無法直接連到 B 機器之國家內的服務
• 解法透過 B 機器架設 VPN 服務，讓 A 透過 VPN 進入到 B 機器所在的國家網路
• 這兩個國家的網路直連很慢，恰好 C 機器所在的國家，對這兩國連線都不錯

很繞口，但事實就擺在眼前 XD 這時候在 B 機器已經架好 VPN 服務了，從 A 也能夠連到，但是速度表現不佳，所以想要繞道從 C 機器所在的國家進去。

這時 C 機器就只需做 port forwarding 來處理即可，共有 UDP 500, 1701, 450 port 要處理：

$ iptables -A PREROUTING -t nat -i eth0 -p udp --dport 500 -j DNAT --to B_SERVER_IP:500
$ iptables -A PREROUTING -t nat -i eth0 -p udp --dport 4500 -j DNAT --to B_SERVER_IP:4500
$ iptables -A PREROUTING -t nat -i eth0 -p udp --dport 1701 -j DNAT --to B_SERVER_IP:1701
$ iptables -A FORWARD -p udp -d B_SERVER_IP --dport 500 -j ACCEPT
$ iptables -A FORWARD -p udp -d B_SERVER_IP --dport 4500 -j ACCEPT
$ iptables -A FORWARD -p udp -d B_SERVER_IP --dport 1701 -j ACCEPT