翻來翻去的筆記: Proxy、VPN 和 SSH Tunnel、iptables port forwarding 混用

有想要翻出去，就會有人想要翻進去 XD 在指定國家內架一檯 server ，提供 proxy 、 VPN 服務，提供另一個國家連線，這是一個滿常見的做法，只是，如果國家網路掌控很威，那需要嘗試一些小手段：

前提：

自家機器 IP: localhost , 可用 local_port
指定國家 SERVER IP: x.x.x.x , target service port: xx
第二國家 SERVER IP: y.y.y.y , port forward: yy

SSH Tunnel

假設在指定國家內的 server 服務都是跑 TCP 時，如果直接連它還是不夠順，那就試試 Service over SSH tunnel 吧！

$ ssh -N -L local_port:x.x.x.x:xx x.x.x.x

如此一來，原先的服務就可以改連 localhost:local_port 代替 x.x.x.x:xx 服務。若 ssh tunnel 需要斷掉還能自動重連，在 Ubuntu 就是用 autossh ，把 ssh 指令換成 autossh 即可。若開機就執行，就寫在 /etc/rc.local，另外也用 key-pair 登入來取代密碼輸入：

$ sudo vim /etc/rc.local
su -s /bin/sh account -c 'autossh -N -f -L x.x.x.x:xx x.x.x.x'

有時候單純是 routing table 的問題，需要假藉另一個國家 y.y.y.y 當跳板，這時 TCP/UDP 都可以用 iptables 處理掉(-p tcp 或 -p udp)，在 y.y.y.y 機器設定：

$ iptables -A PREROUTING -t nat -i eth0 -p tcp --dport yy -j DNAT --to x.x.x.x:xx
$ iptables -A FORWARD -p tcp -d x.x.x.x --dport xx -j ACCEPT

如此一來，連 y.y.y.y:yy 等同連到 x.x.x.x:xx 。

此外，純 TCP 在 Ubuntu 中還可以透過 redir 套件來處理，若 redir 已安裝好後，好處相較于 iptables 可以不需要 root 權限：

$ redir --lport yy --laddr=y.y.y.y --cport=xx --caddr=x.x.x.x

以 Proxy、VPN 這類服務而言，大概能搞的招數就這些吧，例如 Proxy over SSH tunnel 或甚至 SSH tunnel 是從第二國家建立，以此強制 routing 的改變。