stealth/fraud-bridgeأداة لتوجيه حركة المرور عبر ICMP وDNS وNTP لتجاوز الرقابة، مع حماية سلامة HMAC وضبط MSS لجلسات ويب فعالة عبر الشبكات المقيدة.
يساعد fraud-bridge في تجاوز بيئات الرقابة التقييدية التي تمنع الاتصالات المباشرة عبر TCP أو UDP، من خلال إعداد أنفاق ICMP أو NTP أو DNS (عبر IPv4 أو IPv6).
يقوم تلقائياً بتصحيح خيار MSS الخاص بـ TCP لتحقيق تسلسل غير مجزأ من الحزم (يُعرف باسم MSS-clamping) لزيادة الأداء، مما يتيح استخدام جلسات الويب عبر النفق.
يستخدم MD5 لحماية سلامة النفق (باستخدام HMAC) من حزم TCP الضارة المحقونة. إذا كنت بحاجة إلى الخصوصية، فعليك استخدام التشفير بنفسك. من المفترض أنك تستخدم SSH عبر النفق على أي حال، إما مباشرة أو من خلال خيار وكيل SSH إذا كنت بحاجة إلى HTTP عبر النفق.
عند استخدام نفق DNS، يستخدم fraud-bridge رؤوس توسعة EDNS0 لوضع أكبر عدد ممكن من البايتات في رد TXT.
كما يتضمن fraud-bridge بعض التقنيات الأخرى للتعامل مع قيود bind معينة، مثل الحصص/الحدود.
يمكنك استخدامه أيضاً للحصول على دعم كامل للتجوال/الحركة في جلسات SSH الخاصة بك دون أي تصحيح.
بمجرد إعداد النفق، قد ترغب في قراءة كيفية جعل مراسلك يعمل عبر النفق.
لاحظ أيضاً أن c->skills توفر السلسلة الكاملة من معدات كسر الرقابة التي قد تهمك: crash و psc
ما عليك سوى تنفيذ make على Linux.
الاستخدام كالتالي:
fraud-bridge -- https://github.com/stealth/fraud-bridge
Usage: fraud-bridge <-k key> [-R IP] [-L IP] [-pP port] [-iIuUnN] [-s sz]
[-E sz] [-d dev] [-D domain] [-S usec] [-X user] [-r dir] [-t type] [-v]
-k -- HMAC key to protect tunnel packets
-R -- IP or IPv6 addr of (outside) peer when started inside
-L -- local IP addr to bind to if started outside (can be omitted)
-p -- remote port when in DNS/NTP mode (default: 53/123)
-P -- local port when in DNS/NTP mode (outside default: 53/123)
-i -- use ICMP tunnel
-I -- use ICMPv6 tunnel
-u -- use DNS tunnel over IP
-U -- use DNS tunnel over IPv6
-n -- use NTP4 tunnel over IP
-N -- use NTP4 tunnel over IPv6
-E -- set EDNS0 size (default: 1024)
-s -- set MSS size (default: 1024)
-d -- tunnel device to use (default: tun1)
-D -- DNS domain to use when DNS tunneling
-S -- usec slowdown for DNS ping (default: 5000)
-X -- user to run as (default: nobody)
-r -- chroot directory (default: /var/empty)
-t -- override ICMP/ICMP6 type (usually no need to change)
-v -- enable verbose mode
بعض التعريفات: الداخل (inside) يشير إلى الجهاز داخل الشبكة الخاضعة للرقابة، على الأرجح جهاز الكمبيوتر المحمول/الحاسب الشخصي. الخارج (outside) يشير إلى VPS أو جهاز خارج الشبكة الخاضعة للرقابة، أي ما يسميه الناس "الإنترنت الحر".
بعد البدء، يفتح fraud-bridge نفق نقطة إلى نقطة: 1.2.3.4 <-> 1.2.3.5
ثم تحتاج إلى تشغيل inside.sh على الداخل و outside.sh على الخارج.
يبدو كالتالي:
على طرف النفق الخارجي (مثل خادم على الإنترنت):
# ./fraud-bridge -u -L 192.168.2.222 -D f.sub.dnstunnel.com -k key
(وقم بتشغيل outside.sh)
وعلى الداخل:
# ./fraud-bridge -u -R 127.0.0.1 -D f.sub.dnstunnel.com -k key
(وقم بتشغيل inside.sh)
كمثال لنفق DNS مع named محلي يعمل على 127.0.0.1 والنظير الخارجي هو 192.168.2.222. كما ذكرنا، يمكن (ويجب) بدء تشغيل الجزء الخارجي من النفق مسبقاً، وسيظل يستمع فقط للنظير لفتح النفق. تم تضمين ملفات مناطق مثال إذا كنت تريد تجربة إعدادات bind الخاصة بك. لا حاجة لها لتشغيل أنفاق ITW.
جهاز النفق الافتراضي هو tun1. تأكد من عدم تشغيل مثيلات متعددة من fraud-bridge في نفس الوقت أو أي برنامج نفق آخر يستخدم جهاز النفق هذا. بعد كل إيقاف/إعادة تشغيل لخدمة fraud-bridge، يجب تنفيذ النصوص البرمجية الداخلية/الخارجية مرة أخرى في الطرف الذي أعدت تشغيله.
يمكن (ويجب) حذف المعلمة -L في الخارج. في الإعدادات الحقيقية، تحتوي المعلمة -R في إعدادات الداخل على عنوان IP أو IP6 للخادم الخارجي، أو إذا تم استخدام التكرار العكسي لـ DNS، عنوان IP لخادم DNS الخاص بمزود الخدمة أو محلل DNS العمومي العودي. إذا لم يكن لديك خادم DNS خاص بك، فلا يزال بإمكانك استخدام نفق DNS باستخدام عنوان IP الخاص بـ VPS كمعامل -R على الداخل واستخدام أي اسم نطاق -D (ولكن نفس الاسم) على كلا الطرفين يبدو مشروعاً لنظام الرقابة، مثل -D blah.gov.
قبل تجربة نفق DNS، من المرجح أنك تريد التجربة مع نفق ICMP أو NTP.
إذا رأيت تحذيرات chroot في سجل النظام، يمكنك تجاهلها أو تقديم وسائط صالحة لـ -r.
يمكنك بعد ذلك استخدام ssh -D 1234 1.2.3.5 للحصول على اتصال SSH بـ 192.168.2.222
في المثال أعلاه واستخدام وكيل SOCKS5 على المنفذ :1234 لجلسة متصفح الويب الخاصة بك
التي تعمل عبر النفق.
يمكنك فعل ذلك أيضاً مع ICMP: -i و ICMP على IPv6: -I أو DNS عبر UDP عبر
IPv6: -U أو NTP عبر UDP: -n أو NTP عبر UDP/IPv6: -N.
من الممكن أيضاً تغيير نوع النفق (DNS إلى ICMP أو ICMP إلى NTP) بعد اتصال SSH، أو التجوال إلى عنوان IP محلي آخر (مثل التبديل من Wi-Fi إلى 5G) حيث يتم الاحتفاظ بحالة TCP في نواة الجهاز المحلي والبعيد وليس في النفق. يتيح ذلك دعمًا كاملاً للتجوال/الحركة لـ SSH دون أي تصحيح لـ SSH.
في وضع الإسهاب (verbose)، سيترك fraud-bridge stdout مفتوحًا للإبلاغ عن الأخطاء أو الرسائل،
لذا تحتاج إلى تشغيله على شاشة أو إعادة توجيه المخرجات إلى /dev/null إذا كنت بحاجة
إلى تشغيله في الخلفية (مع الإسهاب). ضع ذلك في اعتبارك لأنك تحتاج إلى بدء تشغيل النصوص الداخلية/الخارجية
بعد استدعاء fraud-bridge. إذا لم تستخدم -v، فسوف ينتقل إلى الخلفية ويسجل
الأخطاء في syslog.
قبل استخدام أي أنفاق ICMP، تأكد من تخفيف قواعد جدار الحماية لمودم الكابل الخاص بك
لتلقي حزم الرد من النظير البعيد. يعمل fraud-bridge خلف NAT،
لكنه يحتاج إلى استقبال حزم الرد في النهاية. عند استخدام نفق ICMP وتم حظر إشارات ICMP، يمكنك تعيين معامل النوع عبر -t. على سبيل المثال استخدام -t 13 في الداخل و -t 14
في الخارج للحصول على أزواج طلب/رد الطابع الزمني.
عند استخدام نفق DNS، يستخدم fraud-bridge رؤوس توسعة EDNS0 لوضع أكبر عدد ممكن من البايتات في
رد TXT. في اختباراتي، نظراً لأنه يحاول الرد على أي حزم توقيت، فإنه لا ينتج سجلات في ملف سجل bind9. إذا قمت بتغيير
EDNS0 (-E)، فأنت بحاجة إلى فعل ذلك على كلا الطرفين بنفس القيمة.
(لأن الداخل يُعلن عن أقصى حجم حمولة UDP لخادم الأسماء ونقطة النهاية الخارجية
تحسب MSS بناءً على ما تم تقديمه مع -E.)
عند استخدام نفق NTP، بعض مزودي الخدمة الذين يستخدمون CGN يحظرون حزم NTP الكبيرة (على IPv4 فقط). في مزود خدمة ألماني
شائع، تم حظر أي حزم NTP أكبر من 256 بايت. لذا عليك ضبط MSS وفقاً لذلك للحصول على حزم أصغر
مثل -s 100 حتى يقوم مكدس TCP بإرسال المقاطع بأحجام أصغر.
نظرًا لأن fraud-bridge يفتح نفق PtP، يمكنه إزالة رأس IP من الحزم التي ينقلها وتركيبه في كل طرف. لذا بالنسبة لنفق ICMP، يكون لديك حمل إضافي يبلغ 8 (ICMP) + 16 (HMAC) بايت، وهو مقبول. لا يزال نفق DNS يعطي زمن استجابة جيد وعرض نطاق ترددي (عند استخدامه مباشرة)، وذلك بفضل MSS clamping. عند استخدام النفق بشكل غير مباشر عبر محللات DNS العامة، تكون القيم الافتراضية كافية للحصول على جلسة معقولة، لكن بالطبع يُفضل نفق ICMP كلما أمكن.
باستخدام ssh -D [0.0.0.0]:1234 1.2.3.5 يمكنك إعداد وكيل SOCKS محلي على جهازك على المنفذ 1234 (داخل) وتوزيعه عبر WLAN على جيرانك لجلسات ويب خالية من الرقابة.
يمكنك أيضاً إعداد tor محلي على الصندوق الخارجي، لتوفير منفذ SOCKS على 127.0.0.1:9150
كما تفعل عادةً، ثم استخدام ssh -L 9150:127.0.0.1:9150 1.2.3.5 لتوجيه هذا المنفذ الخارجي
إلى جهازك الداخلي، لتعكس إعداد tor الخارجي محليًا وتوزيعه
كمنفذ SOCKS لـ tor عبر WLAN لمستخدميك. بهذه الطريقة لا نحتاج إلى تنفيذ وسائل نقل قابلة للتوصيل (pluggable transports)
ويمكنك الاستمرار في استخدام tor كما كان من قبل. يعمل هذا أيضًا مع جلسات crash أو psc أو أي آلية نفق أخرى.
المعامل -S له قيمة افتراضية معقولة لحزم مؤقت DNS التي يجب إرسالها إلى الخادم بفاصل زمني ثابت. القيم الأقل تعطي زمن استجابة أفضل للنفق ولكنها قد تثقل كاهل خادم DNS العودي وتنتج ضوضاء أكثر.
برعاية كريمة من:
