lumag 16 сен 2014 в 16:15

Tor Hidden Service как техника Nat Traversal

2 мин

43K

Информационная безопасность *

+11

Комментарии 38

shifttstas 16 сен 2014 в 17:08

В CJDNS тоже так же можно делать, только пока в UNIX только

GamePad64 17 сен 2014 в 17:54

Симметричный NAT Traversal в cjdns не получится. Это же F2F-сеть, при подключении к cjdns требуется ip (или mac) другого узла. За NAT такой возможности не будет.

J_o_k_e_R 16 сен 2014 в 17:32

Месье знает толк в нестандартных способах удаления гланд. Простая сетка на. openvpn, раз уж есть. vds

J_o_k_e_R 16 сен 2014 в 17:33

будет проще и надежнее.
(Извините промазал по кнопке с планшета)

lumag 16 сен 2014 в 17:48

OpenVPN — это хорошая идея. Наверное, если бы задача выходила за пределы ssh, я бы последовал этому совету. Но OpenVPN — это еще одно место конфигурации. К нему надо как-то прикручивать DNS или убеждаться, что mDNS работает нормально.

J_o_k_e_R 16 сен 2014 в 20:25

DNS совершенно НЕ необходим. Для SSH Вы можете создать записи в .ssh/config, Вы можете ходить по IP, Вы можете прописать записи в hosts, если уж совсем необходимы символьное обращение к хостам.

Xitsa 21 ноя 2015 в 07:19

Это только если IP статический.
А так у Tor Hidden Services есть следующие преимущества над VPN:
1. Бесплатный постоянный onion-адрес в условиях динамического IP/NAT.
2. Тонкий контроль над доступом к вынесенным во внешнюю сеть ресурсом: наружу попадают только те сервисы, которые указаны в настройках.

erlyvideo 17 сен 2014 в 03:55

вопрос с openvpn: а насколько будет удобно менеджить openvpn сервер на 20 тыс устройств?

J_o_k_e_R 17 сен 2014 в 08:19

Не знаю, не пробовал в таких масштабах. Но не вижу проблем экстраполировать мой опыт openvpn на несколько сотен клиентов на 20 тысяч. И какие именно задачи Вы подразумеваете под «менеджить»?

Если что логическую сущность «openvpn-сервер» можно вполне разбить на несколько физических. Точнее в Ваших масштабах — нужно.

НЛО прилетело и опубликовало эту надпись здесь

hungry_ewok 16 сен 2014 в 21:44

А что, все провайдеры уже его поддержали?

lumag 16 сен 2014 в 21:47

SixXS + Aiccu

andrewsh 16 сен 2014 в 22:01

Не советуйте бяку. Hurricane Electric, gogoIPv6 и прочие тередо.

Evengard 17 сен 2014 в 06:06

почему это бяка? оО

andrewsh 17 сен 2014 в 07:18

Майнтейнеры редиски, которые абсолютно неуважительно относятся к пользователям.

J_o_k_e_R 17 сен 2014 в 08:30

Зато шикарные пинги по сравнению с альтернативами.

А из минусов еще добавлю замороченная регистрация и требования о реалистичных данных пользователя.

andrewsh 17 сен 2014 в 08:57

Пинги у меня замечательные и на хенете. А сиксу я предоставлял реальные данные, но регистрацию заворачивали, называя меня абьюзером. Ну и хрен с ними. Сикс сакс.

J_o_k_e_R 17 сен 2014 в 10:23

Нормальные пинги — это какие? У меня до шлюза в sixxs — порядка 9.6 ms. Ни один шлюз в he мне такого дать не смог. Я в Москве.

Чуть хуже, чем SixXS пинги мне давал NetAssist (при самой незамороченной регистрации), но последнее время стал слишком нестабилен. Пришлось раскидать линки на SixXS и HE.

А что в данном контексте значит абьюзер?

andrewsh 17 сен 2014 в 11:08

У меня пинги порядка миллисекунды. Но это не Москва, да.

Насчёт проблем с регистрацией, подробности тут: blog.shadura.me/2011/12/13/sixxs-suxxs/

J_o_k_e_R 17 сен 2014 в 11:18

Пинги порядка миллисекунды до шлюза IPv6-брокера? Простите, я Вам не верю. Это порядок пингов при нативном подключении до шлюза Вашего провайдера.

Насчёт проблем с регистрацией, подробности тут: blog.shadura.me/2011/12/13/sixxs-suxxs/

Прочитал. Я не понимаю, откуда у Вас вылезла эта проблема и что Вы указали в данных, но я специально написал, что необходимо вводить реалистичные (но не обязательно реальные) данные. То есть я ввел данные из головы, но приблизительно корректные, проверил, что адрес такой реально существует. И все прокатило.

Возможно в Вашей стране у них есть возможность проверять данные, так Вам черным по белому написали, судя по Вашей ссылке, что Вы не указали ZIP-код.

В общем это Ваша эпизодическая проблема.

andrewsh 17 сен 2014 в 12:59

Простите, но это именно так.

Насчёт «эпизодичности» — это было бы так, если бы это было эпизодически. Проблемы подобного рода происходят постоянно с разными людьми. Точно так же как внезапно блокируют аккаунты на основе мониторинга сетевой активности. У сиксовцев в голове живут серьёзные забабоны, это точно.

З.Ы. Кстати, адрес без почтового индекса является совершенно валидным. Более того, они пишут, что не могли проверить комбинацию адрес + имя. А проверить её и не получится, если они не полиция, особенно если речь идёт о жилье, предоставленном работодателем (на тот момент у меня было именно так).

andrewsh 17 сен 2014 в 11:09

Кроме того, ограничения на протоколы, которые я могу использовать — это идиотизм. А у хенета всё просто работает.

J_o_k_e_R 17 сен 2014 в 11:18

Что за ограничения?

НЛО прилетело и опубликовало эту надпись здесь

hungry_ewok 17 сен 2014 в 09:46

А вот ссылочку бы на эти способы. Бо те что встречал пока что, скажем так, не особо вдохновляли…

J_o_k_e_R 17 сен 2014 в 10:24

Туннельные брокеры или VPN через свой сервер с нативным IPv6.

НЛО прилетело и опубликовало эту надпись здесь

YourChief 17 сен 2014 в 06:59

Совет про ipv6 верный, но стоит использовать Teredo. Поддержка этой переходной технологии есть в современной винде из коробки, в линуксе достаточно набрать что-то вроде sudo apt-get install miredo и, вуаля!, у вас появился глобально маршрутизируемый ipv6 адрес

J_o_k_e_R 17 сен 2014 в 08:32

Есть способы так же надежно как VPN пробивать NAT? Да, Aiccu это умеет, но мне не показалось это очень стабильным.

Askon 16 сен 2014 в 20:48

«Когда конфигурация перестала помещаться в голове, пришла идея сократить количество сущностей, используя Tor Hidden Service.»
Насколько имена tor хостов вида xxxxxxxxxxxxxxxx.onion стало легче в голове умещать? )

lumag 16 сен 2014 в 20:51

Они попали в .ssh/config

J_o_k_e_R 17 сен 2014 в 08:34

Тогда тем более не понимаю смысла не использовать VPN.

lumag 17 сен 2014 в 14:12

Основная причина, почему я не стал поднимать OpenVPN: VPN — это еще один инфраструктурный элемент. Который надо поддерживать, настраивать, следить и т. п. Tor, в этом плане, гораздо проще. Плюс, он не требует стабильной работы VDS.