Captive portal 研究心得，以 iptables 實作

之前略知使用 Taipei Free 或 CHT Wi-Fi時，會彈跳出認證(登入)的網頁，但卻不知其所以然，直到最近研究了 Captive portal 的東西。一開始用 Captive portal 關鍵字找了一些 RFC 文件，殊不知那些都是煙霧彈 XD 如：

• Captive-Portal Identification Using DHCP or Router Advertisements (RAs) https://tools.ietf.org/html/rfc7710
• Additional HTTP Status Codes - The 511 Status Code and Captive Portals https://tools.ietf.org/html/rfc6585

經過了一陣抓封包後，簡言之，透過網路管控，當符合以下情境時，各個 OS 內的網路偵測小程式，就會彈跳視窗：

1. 用戶連上 router 時，可以進行 DNS lookup
2. 未通過認證的用戶，無法透過 router 進行網路連線請求，如連上 facebook.com
3. 通過認證的用戶，透過 router 可以正常使用網路

在各個 OS 內，都有一隻小程式時時關注著網路變化，當網路狀態改變且尚未有連外環境，這時程式會自動進行網路連線偵測，概念上就是去連各個 OS 自訂的一個網頁位置，看看能不能抓到東西，且東西是否正常。若不正常時，就會判斷網路是要認證的，接著就會彈跳出認證視窗。

• Captive Portal Detection
• https://github.com/httpwg/wiki/wiki/Captive-Portals

至於 router 上的實作，簡單的說，就是透過防火牆機制：

1. 防火牆設計各種狀態，例如未認證，已認證的 flag (mark)
2. 當用戶完成認證時，透過 CGI 執行防火牆指令，給予標記 (mark)
3. 允許已標記的 client 封包通行

至於完整的實作，可以參考：

• http://dev.wifidog.org/
• https://www.dd-wrt.com/wiki/index.php/NoCatSplash
• https://github.com/arjan/NoCatSplash
• https://github.com/mhaas/fbwlan

以下是同事分別安裝 wifidog 跟 NoCatSplash 取出的防火牆規則，以 wifidog 產出的：

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N WD_wlan0_AuthServs
-N WD_wlan0_Global
-N WD_wlan0_Internet
-N WD_wlan0_Known
-N WD_wlan0_Locked
-N WD_wlan0_Unknown
-N WD_wlan0_Validate
-A FORWARD -i wlan0 -j WD_wlan0_Internet
-A FORWARD -i eth0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i wlan0 -o eth0 -j ACCEPT
-A WD_wlan0_AuthServs -d SERVER_IP/32 -j ACCEPT
-A WD_wlan0_Internet -m state --state INVALID -j DROP
-A WD_wlan0_Internet -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
-A WD_wlan0_Internet -j WD_wlan0_AuthServs
-A WD_wlan0_Internet -m mark --mark 0x254 -j WD_wlan0_Locked
-A WD_wlan0_Internet -j WD_wlan0_Global
-A WD_wlan0_Internet -m mark --mark 0x1 -j WD_wlan0_Validate
-A WD_wlan0_Internet -m mark --mark 0x2 -j WD_wlan0_Known
-A WD_wlan0_Internet -j WD_wlan0_Unknown
-A WD_wlan0_Known -j ACCEPT
-A WD_wlan0_Locked -j REJECT --reject-with icmp-port-unreachable
-A WD_wlan0_Unknown -p udp -m udp --dport 53 -j ACCEPT
-A WD_wlan0_Unknown -p tcp -m tcp --dport 53 -j ACCEPT
-A WD_wlan0_Unknown -p udp -m udp --dport 67 -j ACCEPT
-A WD_wlan0_Unknown -p tcp -m tcp --dport 67 -j ACCEPT
-A WD_wlan0_Unknown -j REJECT --reject-with icmp-port-unreachable
-A WD_wlan0_Validate -j ACCEPT

以 NoCatSplash 產出的 iptables 為筆記：

$ iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N NoCat
-N NoCat_Inbound
-N NoCat_Ports
-A FORWARD -j NoCat
-A NoCat -j NoCat_Ports
-A NoCat -j NoCat_Inbound
-A NoCat -s SERVER_IP/24 -i wlan0 -m mark --mark 0x1 -j ACCEPT
-A NoCat -s SERVER_IP/24 -i wlan0 -m mark --mark 0x2 -j ACCEPT
-A NoCat -s SERVER_IP/24 -i wlan0 -m mark --mark 0x3 -j ACCEPT
-A NoCat -j DROP
-A NoCat_Ports -i wlan0 -p tcp -m tcp --dport 25 -m mark --mark 0x3 -j DROP
-A NoCat_Ports -i wlan0 -p udp -m udp --dport 25 -m mark --mark 0x3 -j DROP
$ iptables -t nat -S
-P PREROUTING ACCEPT
-P INPUT ACCEPT
-P OUTPUT ACCEPT
-P POSTROUTING ACCEPT
-N NoCat_Capture
-N NoCat_NAT
-A PREROUTING -j NoCat_Capture
-A POSTROUTING -j NoCat_NAT
-A NoCat_Capture -p tcp -m mark --mark 0x4 -m tcp --dport 80 -j REDIRECT --to-ports 5280
-A NoCat_Capture -p tcp -m mark --mark 0x4 -m tcp --dport 443 -j REDIRECT --to-ports 5280
-A NoCat_NAT -s SERVER_IP/24 -o eth0 -m mark --mark 0x1 -j MASQUERADE
-A NoCat_NAT -s SERVER_IP/24 -o eth0 -m mark --mark 0x2 -j MASQUERADE
-A NoCat_NAT -s SERVER_IP/24 -o eth0 -m mark --mark 0x3 -j MASQUERADE

其他 iptabes 簡介：

• https://gigenchang.wordpress.com/2014/04/19/10%E5%88%86%E9%90%98%E5%AD%B8%E6%9C%83iptables/

[Linux] Allow from localhost 失效 @ Ubuntu 14.04 / Apache 2.4.7

[Linux] Allow from localhost 失效 @ Ubuntu 14.04 / Apache 2.4.7

週末把某檯機器更新後，發現原先寫的 apache.conf 失效，主要是 Allow from localhost 這段：

<Directory /data/path>
AuthType Basic
AuthName "Password Required"
AuthUserFile /path/auth_pass

Order allow,deny
Allow from localhost
# Allow from DeviceIP


Satisfy any
</Directory>

直到我加上 DeviceIP 後才行。

$ wget -O /dev/null http://localhost/service/api
Resolving localhost (localhost)... 127.0.0.1
Connecting to localhost (localhost)|127.0.0.1|:443... connected.
WARNING: no certificate subject alternative name matches
        requested host name ‘localhost’.
HTTP request sent, awaiting response... 401 Unauthorized

Username/Password Authentication Failed.

追了一下，發現是 iptables 的設定，把這條拿掉就行了：

iptables --table nat --append POSTROUTING --jump MASQUERADE

此筆記是用來記錄，iptables 的影響 Orz

翻來翻去的筆記: Proxy、VPN 和 SSH Tunnel、iptables port forwarding 混用

有想要翻出去，就會有人想要翻進去 XD 在指定國家內架一檯 server ，提供 proxy 、 VPN 服務，提供另一個國家連線，這是一個滿常見的做法，只是，如果國家網路掌控很威，那需要嘗試一些小手段：

前提：

自家機器 IP: localhost , 可用 local_port
指定國家 SERVER IP: x.x.x.x , target service port: xx
第二國家 SERVER IP: y.y.y.y , port forward: yy

SSH Tunnel

假設在指定國家內的 server 服務都是跑 TCP 時，如果直接連它還是不夠順，那就試試 Service over SSH tunnel 吧！

$ ssh -N -L local_port:x.x.x.x:xx x.x.x.x

如此一來，原先的服務就可以改連 localhost:local_port 代替 x.x.x.x:xx 服務。若 ssh tunnel 需要斷掉還能自動重連，在 Ubuntu 就是用 autossh ，把 ssh 指令換成 autossh 即可。若開機就執行，就寫在 /etc/rc.local，另外也用 key-pair 登入來取代密碼輸入：

$ sudo vim /etc/rc.local
su -s /bin/sh account -c 'autossh -N -f -L x.x.x.x:xx x.x.x.x'

有時候單純是 routing table 的問題，需要假藉另一個國家 y.y.y.y 當跳板，這時 TCP/UDP 都可以用 iptables 處理掉(-p tcp 或 -p udp)，在 y.y.y.y 機器設定：

$ iptables -A PREROUTING -t nat -i eth0 -p tcp --dport yy -j DNAT --to x.x.x.x:xx
$ iptables -A FORWARD -p tcp -d x.x.x.x --dport xx -j ACCEPT

如此一來，連 y.y.y.y:yy 等同連到 x.x.x.x:xx 。

此外，純 TCP 在 Ubuntu 中還可以透過 redir 套件來處理，若 redir 已安裝好後，好處相較于 iptables 可以不需要 root 權限：

$ redir --lport yy --laddr=y.y.y.y --cport=xx --caddr=x.x.x.x

以 Proxy、VPN 這類服務而言，大概能搞的招數就這些吧，例如 Proxy over SSH tunnel 或甚至 SSH tunnel 是從第二國家建立，以此強制 routing 的改變。