ipipou: أكثر من مجرد نفق غير مشفر

ماذا نقول لله IPv6؟





صحيح ، ولإله التشفير ، سنقول نفس الشيء اليوم.



هنا سيكون الأمر حول نفق IPv4 غير مشفر ، ولكن ليس عن "مصباح دافئ" ، ولكن حول "مصباح LED" حديث. ثم تومض المآخذ الأولية ، وهناك عمل مع الحزم في مساحة المستخدم.



هناك بروتوكولات نفق N لكل ذوق ولون:

• WireGuard أنيق وعصري وشبابي
• متعدد الوظائف مثل السكاكين السويسرية و OpenVPN و SSH
• GRE القديم وليس الشر
• أبسط وأذكى وغير مشفر IPIP على الإطلاق
• تعمل بنشاط على تطوير جنيف
• آخرين كثر.

لكنني مبرمج ، لذا سأزيد N بنسبة صغيرة ، وأترك ​​تطوير البروتوكولات الحقيقية لمطوري b.



في مشروع آخر لم يولد بعد ، والذي أشارك فيه حاليًا ، أحتاج إلى الوصول إلى مضيفين خلف NAT من الخارج. باستخدام البروتوكولات مع تشفير الكبار لهذا ، لم أترك الشعور بأن الأمر كان مثل كرة المدفع. لان يتم استخدام النفق في الغالب فقط لإحداث فجوة في NAT-e ، وعادةً ما يتم تشفير حركة المرور الداخلية أيضًا ، ومع ذلك فهي غارقة في HTTPS.



أثناء البحث عن بروتوكولات الأنفاق المختلفة ، تم جذب انتباه الكمال الداخلي الخاص بي إلى IPIP مرة بعد مرة نظرًا للحد الأدنى من النفقات العامة. لكن له عيوبًا كبيرة ونصف في مهامي:

• يتطلب عناوين IP عامة على كلا الجانبين ،
• ولا يوجد مصادقة لك.

لذلك ، عاد المثالي إلى الزاوية المظلمة من الجمجمة ، أو في أي مكان يجلس فيه.



ومرة واحدة ، أثناء قراءة المقالات حول الأنفاق المدعومة محليًا في Linux ، صادفت FOU (Foo-over-UDP) ، أي أيا كان ، ملفوفة في UDP. حتى الآن ، يتم دعم IPIP و GUE (تغليف UDP العام) فقط من أي شيء آخر.



"هذه رصاصة فضية! أنا و IPIP بسيط للعيون. " اعتقدت.



في الواقع ، لم تكن الرصاصة فضية بالكامل. يحل التغليف في UDP المشكلة الأولى - يمكنك الاتصال بالعملاء خلف NAT من الخارج باستخدام اتصال محدد مسبقًا ، ولكن هنا نصف العيب التالي في ازدهار IPIP في ضوء جديد - يمكن إخفاء أي شخص من الشبكة الخاصة خلف IP العام المرئي ومنفذ العميل (في IPIP النقي لا توجد مشكلة).



لحل هذه المشكلة التي تبلغ نصف ، ولدت الأداة المساعدة ipipou . يقوم بتنفيذ آلية ذاتية الصنع لمصادقة مضيف بعيد ، مع عدم تعطيل تشغيل FOU النشط ، والذي سيعالج الحزم في مساحة النواة بسرعة وكفاءة.

لا تحتاج البرنامج النصي الخاص بك!

حسنًا ، إذا كنت تعرف المنفذ العام وعنوان IP للعميل (على سبيل المثال ، كل ما يخصك ، أينما ذهبوا ، يحاول NAT تعيين المنافذ من 1 إلى 1) ، يمكنك إنشاء نفق IPIP-over-FOU باستخدام الأوامر التالية ، دون أي نصوص.



على الخادم:

#    FOU
modprobe fou

#  IPIP     FOU.
#  ipip  .
ip link add name ipipou0 type ipip \
    remote 198.51.100.2 local 203.0.113.1 \
    encap fou encap-sport 10000 encap-dport 20001 \
    mode ipip dev eth0

#       FOU   
ip fou add port 10000 ipproto 4 local 203.0.113.1 dev eth0

#  IP  
ip address add 172.28.0.0 peer 172.28.0.1 dev ipipou0

#  
ip link set ipipou0 up

على العميل:

modprobe fou

ip link add name ipipou1 type ipip \
    remote 203.0.113.1 local 192.168.0.2 \
    encap fou encap-sport 10001 encap-dport 10000 encap-csum \
    mode ipip dev eth0

#  local, peer, peer_port, dev     ,   .
# peer  peer_port        FOU-listener-.
ip fou add port 10001 ipproto 4 local 192.168.0.2 peer 203.0.113.1 peer_port 10000 dev eth0

ip address add 172.28.0.1 peer 172.28.0.0 dev ipipou1

ip link set ipipou1 up

أين

• ipipou* - اسم واجهة شبكة النفق المحلية
• 203.0.113.1 - IP العام للخادم
• 198.51.100.2 - IP العام للعميل
• 192.168.0.2 - عنوان IP للعميل المخصص لواجهة eth0
• 10001 - منفذ العميل المحلي لـ FOU
• 20001 - منفذ العميل العام لـ FOU
• 10000 - منفذ الخادم العمومي لـ FOU
• encap-csum — UDP UDP ; noencap-csum, , ( )
• eth0 — ipip
• 172.28.0.1 — IP ()
• 172.28.0.0 — IP ()

طالما أن اتصال UDP على قيد الحياة ، فسيكون النفق في حالة عمل ، وكيف ينكسر ، كم هو محظوظ - إذا ظل IP: منفذ العميل كما هو - سيعيش ، ويتغير - فسوف ينكسر.



أسهل طريقة لتغيير الأمور هي عن طريق تفريغ وحدات النواة: modprobe -r fou ipip



حتى إذا لم تكن المصادقة مطلوبة ، فإن عنوان IP العام ومنفذ العميل غير معروفين دائمًا وغالبًا ما يكونان غير متوقعين أو متغيرين (اعتمادًا على نوع NAT). إذا حذفته من encap-dportجانب الخادم ، فلن يعمل النفق ، ولن يكون ذكيًا بما يكفي لأخذ منفذ الاتصال البعيد. في هذه الحالة ، يمكن أن يساعدك ipipou أيضًا ، أو WireGuard وآخرين مثله لمساعدتك.

كيف تعمل؟

يقوم العميل (الذي يكون عادةً خلف NAT) بإعداد نفق (كما في المثال أعلاه) ويرسل حزمة مصادق عليها إلى الخادم بحيث يمكنه تكوين النفق من جانبه. اعتمادًا على الإعدادات ، يمكن أن تكون هذه حزمة فارغة (فقط حتى يرى الخادم IP العام: منفذ الاتصال) ، أو مع البيانات التي يمكن للخادم من خلالها التعرف على العميل. يمكن أن تكون البيانات عبارة مرور بسيطة للنص العادي (يتبادر إلى الذهن تشابه مع مصادقة HTTP الأساسية) أو بيانات منسقة بشكل خاص موقعة بمفتاح خاص (بالقياس مع HTTP Digest Auth ، فقط أقوى ، انظر الوظيفة client_authفي الكود).



على الخادم (بجانب IP العام) ، عندما يبدأ ipipou ، يقوم بإنشاء معالج nfqueue queue وتكوين netfilter بحيث يتم إرسال الحزم الضرورية إلى حيث يجب أن تذهب: الحزم التي تهيئ الاتصال بقائمة انتظار nfqueue ، و [تقريبًا] كل الباقي مباشرة إلى مستمع FOU.



من ليس في الموضوع ، يعد nfqueue (أو NetfilterQueue) شيئًا خاصًا للهواة الذين لا يعرفون كيفية تطوير وحدات النواة ، والتي تتيح لك عن طريق netfilter (nftables / iptables) إعادة توجيه حزم الشبكة إلى مساحة المستخدم ومعالجتها هناك بوسائل بدائية مرتجلة : تعديل (اختياري) ) وإرجاعها إلى النواة ، أو تجاهلها.



بالنسبة لبعض لغات البرمجة ، هناك ارتباطات للعمل مع nfqueue ، بالنسبة إلى bash لم يكن هناك (هيه ، ليس مفاجئًا) ، كان علي استخدام python: ipipou يستخدم NetfilterQueue .



إذا لم يكن الأداء حرجًا ، فبمساعدة هذا الشيء يمكنك بسرعة وسهولة نسبيًا طهي منطقك الخاص للعمل مع الحزم بمستوى منخفض إلى حد ما ، على سبيل المثال ، نحت بروتوكولات نقل البيانات التجريبية ، أو التصيد بالخدمات المحلية والبعيدة بسلوك غير قياسي.



تعمل المقابس الأولية جنبًا إلى جنب مع nfqueue ، على سبيل المثال ، عندما يكون النفق مهيئًا بالفعل ويستمع FOU إلى المنفذ المطلوب ، فلن يعمل بالطريقة المعتادة لإرسال حزمة من نفس المنفذ - إنه مشغول ، ولكن يمكنك أخذ وتشغيل حزمة تم إنشاؤها عشوائيًا مباشرة في الشبكة واجهة باستخدام مقبس خام ، على الرغم من أنه سيتعين عليك العبث أكثر من إنشاء مثل هذه الحزمة. هذه هي الطريقة التي يتم بها إنشاء الحزم مع المصادقة في ipipou.



نظرًا لأن ipipou يعالج فقط الحزم الأولى من الاتصال (حسنًا ، تلك التي تمكنت من التسرب إلى قائمة الانتظار قبل إنشاء الاتصال) ، فإن الأداء بالكاد يعاني.



بمجرد أن يتلقى خادم ipipou حزمة مصدق عليها ، يتم إنشاء نفق وتتم معالجة جميع الحزم اللاحقة في الاتصال بالفعل بواسطة تجاوز kernel nfqueue. إذا كان الاتصال سيئًا ، فسيتم إرسال الحزمة الأولى من التالية إلى قائمة انتظار nfqueue ، اعتمادًا على الإعدادات ، إذا لم تكن حزمة مصادقة ، ولكن من آخر منفذ IP والعميل الذي تم تذكره ، فيمكن إما تمريرها أو تجاهلها. إذا كانت الحزمة المصادق عليها تأتي من IP ومنفذ جديدين ، فسيتم إعادة تكوين النفق لاستخدامهما.



يواجه IPIP-over-FOU المعتاد مشكلة أخرى عند العمل مع NAT - لا يمكنك إنشاء أنفاق IPIP مغلفة في UDP بنفس عنوان IP ، لأن وحدتي FOU و IPIP منفصلتان تمامًا عن بعضهما البعض. أولئك. لن يتمكن زوج من العملاء خلف نفس عنوان IP العام من الاتصال بنفس الخادم في نفس الوقت بهذه الطريقة. في المستقبل ، قد يتم حلها على مستوى النواة ، لكن هذا غير مؤكد. في غضون ذلك ، يمكن حل مشاكل NAT بواسطة NAT - إذا حدث أن زوجًا من عناوين IP مشغول بالفعل بواسطة نفق آخر ، فإن ipipou سوف يقوم NAT من عام إلى عنوان IP خاص بديل ، فويلا! - يمكنك إنشاء أنفاق حتى تنفد المنافذ.



لان ليست كل الحزم في الاتصال موقعة ، فإن هذه الحماية البسيطة تكون عرضة لـ MITM ، لذلك إذا كان الشرير يتربص بين العميل والخادم ، والذي يمكنه الاستماع والتحكم في حركة المرور ، يمكنه إعادة توجيه الحزم المصادق عليها من خلال عنوان آخر وإنشاء نفق من مضيف غير موثوق به ...



إذا كان لدى أي شخص أي أفكار حول كيفية إصلاح ذلك مع الحفاظ على الجزء الأكبر من حركة المرور في جوهرها ، فلا تتردد في التحدث.



بالمناسبة ، أثبت تغليف UDP نفسه جيدًا. مقارنةً بالتغليف عبر IP ، فهو أكثر استقرارًا وأسرع غالبًا على الرغم من حمل رأس UDP الإضافي. ويرجع ذلك إلى حقيقة أن غالبية المضيفين على الإنترنت يعملون بشكل جيد مع البروتوكولات الثلاثة الأكثر شيوعًا: TCP و UDP و ICMP. يمكن للجزء المحسوس عمومًا أن يتجاهل كل شيء آخر ، أو يعمل بشكل أبطأ ، لأنه محسّن فقط لهؤلاء الثلاثة.



على سبيل المثال ، لذلك ، تم إنشاء QUICK ، على أساسه تم إنشاء HTTP / 3 عبر UDP ، وليس عبر IP.



حسنًا ، كلمات كافية ، حان الوقت لنرى كيف تعمل في "العالم الحقيقي".

معركة

تستخدم لمحاكاة العالم الحقيقي iperf3. من حيث درجة القرب من الواقع ، يتعلق الأمر بمحاكاة العالم الحقيقي في Minecraft ، ولكن في الوقت الحالي ستفعل.



تتضمن المسابقة:

• قناة مرجعية رئيسية
• بطل هذا المقال هو ipipou
• OpenVPN مع مصادقة ولكن بدون تشفير
• OpenVPN All Inclusive
• WireGuard بدون مفتاح مشترك مسبقًا ، مع MTU = 1440 (لـ IPv4 فقط)

النتائج

قناة 20 ميغابت في الثانية











لـ 1 Gbps متفائل











في جميع الأحوال ipipou قريبة جدًا من حيث الأداء من القناة الأساسية ، وهذا رائع!



تصرف نفق openvpn غير المشفر بشكل غريب في كلتا الحالتين.



إذا كان أي شخص سيختبرها ، فسيكون من الممتع سماع التعليقات.



قد يكون IPv6 و NetPrickle معنا!