Comments 144
Какая-то очень страшная дичь. Я пытался что-то понять, но не смог. Зачем это нужно? Для посещения сайтов можно использовать бесплатный vpn. Можно использовать обычный тор. Если всё плохо можно использовать vps с vpn. В чём приемущество описанного в статье метода, я не понял
Я так понимаю, что это решение для конторы, а не для себя любимого. У нас на работе, например, инет тоже за прокси, и естественно телеграмм не работает. Наши админы нас послали куда подальше, а вместо этого подсунули нам некий говно-чат с локальным серваком к которому нет доступа из внешнего мира, соответственно нет доступа с смартфона, вот и нах оно нам надо. А тут люди сделали сотрудникам хорошо.
Верно. Решение для конторы. С 0руб потраченных средств
1) Для конторы не хватит производительности
2) Конторе 0 рублей потраченных средств (при том что речь идет о смешных суммах — VPN можно и от 1 доллара в месяц найти, ну а за 5 долларов — вы получите гарантировано отличнейшую производительность) — не довод вообще.
Конторе важно чтобы оно работало, а не сэкономить 3 копейки.
3) Tor — это средство анонимизации. В отличие от простого VPN. Вопрос — а чем занимается ваша контора, что нуждается в таком?
2) Конторе 0 рублей потраченных средств (при том что речь идет о смешных суммах — VPN можно и от 1 доллара в месяц найти, ну а за 5 долларов — вы получите гарантировано отличнейшую производительность) — не довод вообще.
Конторе важно чтобы оно работало, а не сэкономить 3 копейки.
3) Tor — это средство анонимизации. В отличие от простого VPN. Вопрос — а чем занимается ваша контора, что нуждается в таком?
Для нас то, что описывается в статье, является нормальным решением. Производительности нам хватает.
VPN можно и от 1 доллара в месяц найти
С оплатой в рублях и отчётными документами? Флаг в руки.
VPS с VPN разве трудно используется на работе? Самое простое прописать на проксе маршруты до Telegram-a через VPN.
Согласен для конторы заплатить 5 баксов за терабайт заблокированного трафика гораздо разумнее. Надёжность и скорость этого решения будет выше.
Надежность — под вопросом. Если VPS попадет в список блокировки? Да и я уже сказал, что прокси итак уже есть. Прозрачный, без MITM и так далее. Поэтому захотелось его научить обходить блокировки. А так как решения в Интернетах по этому поводу были не совсем рабочие для моего случая, сделал так, чтобы работало)
Надежность — под вопросом. Если VPS попадет в список блокировки?
Надежность под вопросом у Тора.
Гугль-Яндекс практически всегда требуют капчу решать. Но! Иногда и капча не помогает — просто нода Тора заблокирована у них намертво — и живи со своим прокси как хочешь
VPS с вашим личным IP (не shared) на небольшом хостере — никуда не попадает ни в какие списки.
Да и производительность у VPN существенно выше, чем у Tor
У Гугль-Яндекса капча вводится в поисковиках, насколько я знаю? Я уже сказал, что поисковик идет напрямую. Яндекс в принципе никак не трогал, он итак работает. Бывают проблемы с Youtube, пустил его через Tor — он работает. Скорость вполне приемлемая. И я написал, почему использовал именно так, как использовал. VPS\VPN — другая история.
У Гугль-Яндекса капча вводится в поисковиках, насколько я знаю?
Нет, не только одной капчой дело ограничивается.
Нередко и капча не помогает.
Тебе сразу выдают страничку — что твой IP (IP выходной ноды Tor) заблокирован.
Иногда не сразу, иногда после парочки поисковых запросов.
Это очень даже нередкое поведение.
Про это я в курсе, но в который раз говорю, что поисковики идут напрямую :) если Вас наводит на мысль, что весь гугл (в т.ч.) поиск идет у нас через Тор, то вероятно дело в списке url_regex, который в статье. Он дан для примера. У меня список совсем другой.
В случае блокировки… поднимаете два VPN-а в географически разных регионах. И с откзоустойчивостью сразу получаете NLB при наличии прямых рук и светлого ума.
Да кстати, если Компания большая и имеет бранчи в разных странах, то к VPN-у добавляется еще и бесплатность.
И сколько нужно будет поднимать VPS с VPN в случае частых блокировок? Tor не заблокируют. Есть obfs. И на Squid можно сделать round robin на несколько cache peer, запустить несколько Tor'ов с разными конфигами, получится HA. И проблема скорости, в принципе, тоже будет решена. И еще бесплатно «искаропки»
И сколько нужно будет поднимать VPS с VPN в случае частых блокировок? Tor не заблокируют. Есть obfs.
Глупо подымать VPN в сетях Амазона, Хетцнера и пр. — кого блокировали вместе с Телеграмом.
Мелкого же хостера не заблокируют, ибо не придет к нему Телеграм, Телеграму банально это неудобно. Поднять VPN у мелкого хостера и спать спокойно.
Tor лочат уже отдельные провайдеры. Наблюдал такое на Урале в двух разных городах. И мосты не помогали, к сожалению — с ними скорость была никакующая.
Дело не в телеграме, он итак работает без проксей.
VPS с VPN — это хорошо. Но у меня Squid итак работает, прокси нужен. Поэтому было решено попробовать его научить обходить блокировки РКН.
VPS с VPN — это хорошо. Но у меня Squid итак работает, прокси нужен. Поэтому было решено попробовать его научить обходить блокировки РКН.
Для конторы лучше решение с BGP — проще настройка и нет лишней точки отказа.
Преимущество в том, что не надо покупать VPS, который, к слову, тоже может попасть в блокированные подсети из-за сами знаете чего. Бесплатный VPN? И какая скорость там будет, учитывая что сейчас куча народу используют бесплатные VPN? На Tor скорость в наше время повыше, чем на бесплатных VPN
Преимущество в том, что не надо покупать VPS
Если вы школьник — то, да, это довод.
Вы то позицируете сие решение для конторы, как вы сами тут написали habr.com/post/354708/#comment_10788154
А стоимость VPS смешная.
который, к слову, тоже может попасть в блокированные подсети из-за сами знаете чего
Если это не публичный VPN, то никуда он не попадет.
Не заводите его на Amazon, заведите у мелкого хостера — и никаких случайных блокировок вам.
Решение через Tor крайне медленное.
На фоне скорости Tor и копеечных затрат на другой-второй-третий VPS довод про блокировку VPS, которая не более чем случайна — притянут за уши.
Вы банально через Tor не сможете полноценно пользоваться google.com — ибо Google сам блокирует частенько ноды Tor.
Я уже написал, почему решил использовать так, как описано, и я знаю про VPS, про цены и так далее. У нас не такой большой трафик на заблокированные ресурсы, чтобы покупать VPS\VPN ради этого. И не такой трафик, чтобы использование Tor доставляло неудобства при использовании сети. Бюджетное решение — есть бюджетное решение. Плюс, статья может быть полезна бюджетным организациям, где на RJ45 коннекторы по полгода деньги выделяют, не забывайте про них. Нам это решение подходит. А VPS\VPN — это совсем другая история
Плюс, статья может быть полезна бюджетным организациям, где на RJ45 коннекторы по полгода деньги выделяют
Что-то сомнительно чтобы в учреждениях, не имеющих в запасе пару десятков RJ-45, жизненно необходимыми были бы вообще хоть какие-нибудь зарубежные сайты.
И, запросто руководству предприятия это может стоить места, если кто накапает, что у них блокировки обходятся. И за меньшее по шапке дают.
Вы невнимательно читали статью, видимо… И в принципе не владеете ситуацией. Речь идет об обходе блокировки неправомерно заблокированных ресурсов, попавших «под раздачу». И таких ресурсов немало, и там есть далеко не зарубежные сайты.
И в принципе не владеете ситуацией.
Перешли на личности? Кончились здравые аргументы?
Я понимаю, что вы решили техническую задачу — и гордитесь этим. Это то понятно.
Но вот обоснование… Для бюджетных учреждений? Вы серьезно?
Какие именно жизненно важные ресурсы для бюджетной организации, которая на столько далека от современных технологий, что такой организации даже RJ-45 нужно за полгода заказывать — какие такие жизненно важные ресурсы, размещенные на заграничных хостингах, которые прям настолько нужны организации, что руководитель этого бюджетного госучреждения готов рискнуть своим местом?
Конкретные примеры, пожалуйста.
И, еще один вопрос, а что мешает запускать Tor локально?
Не навлекая возможной ответственности ни на админа этой организации ни на ее руководителя?
Речь идет об обходе блокировки неправомерно заблокированных ресурсов, попавших «под раздачу».
Давайте не будете врать.
Tor позволяет обходить все. И правомерные и неправомерные.
Вы проверяете все судебные решения? Ваша прокси автоматически блокирует только неправомерные сайты?
Уважаемый, на личности никто не переходит. К чему весь трёп? Вас не устраивает решение, Вы оставили комментарий-другой, ок. С чего я должен Вам рассказывать, какие жизненно важные ресурсы нам необходимы? Что за нездоровый интерес? Нас решение устраивает целиком и полностью, и нет необходимости покупать VPS. Вы в курсе, что даже образовательные порталы попали под раздачу? А образовательные порталы используются в учебных заведениях, в которых как раз таки скудное финансирование, экономится каждая копейка.
Какая ответственность? Вы внимательно читали то, что я писал? Ничего противоправного в статье не описано. Tor локально? Вы серьезно? И ЗАЧЕМ?
Вы предложили VPS и VPN, ок, предложили так предложили, но нам это не нужно, нет надобности, понимаете? Предлагаю закончить диалог.
Какая ответственность? Вы внимательно читали то, что я писал? Ничего противоправного в статье не описано. Tor локально? Вы серьезно? И ЗАЧЕМ?
Вы предложили VPS и VPN, ок, предложили так предложили, но нам это не нужно, нет надобности, понимаете? Предлагаю закончить диалог.
бюджетным организациям, где на RJ45 коннекторы по полгода деньги выделяют
В чём проблема заплатить 2 евро со своей карты?
Если у Вас есть лишние 2 евро, можете платить, никто ведь не запрещает! Я боюсь, что все те, кто пишут про VPS\VPN и прочее, немного недопонимают все прелести связки Squid и Tor. Перечитайте статью, пожалуйста.
Если у Вас есть лишние 2 евро, можете платить, никто ведь не запрещает!
Это делается элементарно.
Контора дает тебе типа премию в размере этих 2 евро.
Ты оплачиваешь с личной карты.
Никаких заморочек по бухгалтерии.
И ничего не покупаешь за личный счет.
З-а-ч-е-м? Мне сколько раз уже нужно повторить одно и то же? Что VPN — не надежно! Мне лично VPN не нужен, и многим он тоже не нужен. Вам нужен — используйте, никто не запрещает. Но я Вам и всем другим говорю, что в случае чего, ваши VPN, BGP и прочее блокируется с легкостью. Если не верите, то это печально. А Tor не заблокировал еще НИКТО! Даже Китай! Даже с его мощностями и просто колоссальными затратами на внедрение и сопровождение «китайского файрвола» заблокировать Tor у них не получилось, OBFS успешно работает в Китае. А Вы говорите, что у нас в России кто-то блокирует Tor? Ок, клиентский режим не будет работать, это максимум. Проблемы со скоростью на OBFS? Вот уж странно… Либо использовался один бридж, либо кривые руки, другого просто быть не может.
Например, в том, что все подключенные к сети организации устройства будут ходить куда можно, куда нужно и с контролем трафика без каких либо настроек на стороне клиента, получив конфигурацию сети по DHCP.
В чём приемущество описанного в статье метода, я не понялв том, чтобы в vpn/tor маршрутизировать только «запрещенный» трафик. Используя остальной интернет напрямую.
И с репозиториями неаккуратно вышло… я бы Бастер подключал с другим приоритетом, и вместе с основным, а не вместо него. И apt указал бы ставить пакет из него.
Согласен. В данном случае репозиторий подключался лишь для скачивания исходников libecap, это можно сделать и без подключения репозитория, в принципе. В любом случае, спасибо за замечание
Поправьте, если не прав, но кажется libecap3 в stretch тот же, что и в Buster. Тем самым, эти действия в принципе лишние.
А зачем проксировать gopher и другие морально устаревшие протоколы?
Как мы все знаем, Tor — это не HTTP-прокси
Мы все также знаем, что с версии 0.3.2 Tor может использоваться в роли туннелирующего HTTP-прокси (использует метод «HTTP CONNECT»). Порт для приёма соединений к прокси задаётся через настройку HTTPTunnelPort.
Все также знаем, что HTTPS прокси он не умеет
Пардон. И правда, можно выбросить Privoxy. Спасибо за замечание!
Найден баг, так что способ не совсем работает. Privoxy нужен
А вы видели habr.com/post/249117? Не нашёл в тексте статьи отсылок туда, но там, казалось бы, решают ту же задачу. Посмотрите также комментарии, там много интересного.
Кстати, в вашей конфигурации работают websockets?
Кстати, в вашей конфигурации работают websockets?
Чем ваш подход лучше этого и этого вариантов?
Чем хуже сразу можно сказать: нужно патчить и собирать свои версии пакетов, а значит потом тоже нужно будет пересобирать и постоянно следить за обновлениями. Конкретно головная боль и лишняя забота. Про url_regex я даже не знаю что сказать.
Не лучше и не хуже.
1) в Ваших вариантах другой подход в принципе, свои плюсы и минусы.
2) мне нужен был именно Transparent HTTP+HTTPS прокси, по которому можно нормально и централизовано отслеживать посещения, в т.ч. HTTPS ресурсы. И данная связка это позволяет. Плюс, в моей первой статье 2015 года так и не была решена основная проблема — ip адреса в логах на порту 443 вместо доменных имен. И не работали более новые версии Squid. Лучше поздно, чем никогда) Проблему исправил патчем. Эта статья, можно сказать, дополнение к первой про peek and splice.
3) можно ничего не патчить и не компилить, а просто взять готовые пакеты и поставить, накатить конфиг, дело 10 минут.
1) в Ваших вариантах другой подход в принципе, свои плюсы и минусы.
2) мне нужен был именно Transparent HTTP+HTTPS прокси, по которому можно нормально и централизовано отслеживать посещения, в т.ч. HTTPS ресурсы. И данная связка это позволяет. Плюс, в моей первой статье 2015 года так и не была решена основная проблема — ip адреса в логах на порту 443 вместо доменных имен. И не работали более новые версии Squid. Лучше поздно, чем никогда) Проблему исправил патчем. Эта статья, можно сказать, дополнение к первой про peek and splice.
3) можно ничего не патчить и не компилить, а просто взять готовые пакеты и поставить, накатить конфиг, дело 10 минут.
Про требование отслеживать посещения в статье ни слова, стоило бы добавить если это, вы считаете, важно. Добавлять ли обсуждение достоинств и недостатков этого подхода, а также ссылки на альтернативные варианты — на ваше усмотрение.
Хорошо, я исправлю материал. Спасибо
кстати, а что не так с url_regex?
Нет, конечно, url_regex работать будет, но всё равно немного странно использовать ограниченный список доменов, когда есть полный список всех заблокированных сайтов в открытом доступе. По хорошему должно быть объяснено почему используется именно url_regex.
Ну, в принципе отличия написаны в оф.документации. Regex предоставляют наиболее широкие возможности по спискам в целом. Можно использовать dstdomain, и прикрутить туда список из РКН. Но тогда люди получат доступ к действительно по праву заблокированным ресурсам, что недопустимо.
тогда люди получат доступ к действительно по праву заблокированным ресурсам, что недопустимо.
Либо трусы, либо крестик. Либо ресурсы заблокированы, и к ним доступа нет. Либо админ придумал и реализовал способ обхода блокировки, и предоставил этот способ в общественное пользование — тогда он нарушает, ага.
А что админ нарушил, «предоставив общественности» способ обхода неправомерных блокировок РКН?
Возможно, и ничего не нарушил, в тонкостях запретов и антизапретов сложно разобраться. Я бы на оборудовании конторы в рабочее время таким не занимался.
Интересна сама концепция правомерности блокировок согласно некому списку регэкспов.
Интересна сама концепция правомерности блокировок согласно некому списку регэкспов.
Ну, если уж на то пошло, то статьи такого рода уже есть, о чем я писал в статье. Я всего лишь сделал так, чтобы оно работало в моих условиях. Конечная цель — получить доступ к ресурсам, которые просто попали под раздачу, находясь на заблокированных подсетях, но при этом сами ресурсы заблокированными быть не должны, так как нет никаких оснований. Вайбер глючил до недавнего времени — яркий пример. Или гугл шрифты (по сей день проблема наблюдается), Ютуб (по сей день наблюдаются проблемы). Море примеров. А замглавы Минкомсвязи Алексей Волин вообще заявил: «У нас разве есть закон, запрещающий обходить блокировки? Я про такой не слышал». Максимум, что нельзя, это быть провайдером или VPN сервером публичным и предоставлять средства для обхода, но мы-то не операторы, и не предоставляем другим такой сервис, а используем в работе. А в работе необходим доступ к тем ресурсам, которые не работают по причине попыток блокировки телеграма
А замглавы Минкомсвязи Алексей Волин вообще заявил: «У нас разве есть закон, запрещающий обходить блокировки? Я про такой не слышал».
Для личных целей, — нет закона, да.
А публичные сервера обхода блокировок — уже прикрывать начали и это вполне по закону.
Дома — вы можете это сделать.
Но предоставить Tor целой фирме — это не то же самое.
Если бы вы предоставили Tor только на Whatsapp — это еще куда ни шло.
Но вы то предоставляете доступ на все заблокированное.
А что админ нарушил, «предоставив общественности» способ обхода неправомерных блокировок РКН?
Вы можете ознакомиться с материалами по делу Дмитрия Богатова,
арестованного в связи с тем, что он держал ноду Тора, то есть как раз «предоставил общественности способ обхода блокировок».
Неправомерных блокировок или правомерных блокировок — всего лишь игра слов, так как какие именно блокировки ваша система не определяет, на это нужна экспертиза человеком.
Вы сравниваете совсем не те вещи, не вводите в заблуждение
Представим, что один из сотрудников фирмы за что-то обижен на админа. Или на руководство фирмы. А у местных полицаев есть желание заработать себе бонусов.
Конечно же, это просто фантазии, такого быть не может, и никогда ничего подобного не было…
Конечно же, это просто фантазии, такого быть не может, и никогда ничего подобного не было…
Господи… Да пожалуйста! Кстати, к теме материала это вообще не относится. Я не предоставляю никому серверы для обхода. Я всего лишь подсказал способ, как В РАМКАХ ЗАКОНА обеспечить комфортную работу в Интернете с теми ресурсами, которые НЕ ДОЛЖНЫ БЫТЬ заблокированы. Надеюсь, разъяснил уже в 10 раз более понятно.
Скажите, нет ли у вас в планах, собрать это все в docker контейнер?
В Privoxy есть выборочный форвардинг по хостам и маскам, можно как завернуть отдельные сайты, так и завернуть всё, кроме отдельных сайтов. Так что кроме Tor и Privoxy всё лишнее.
Или можно выбросить Tor, купить VPS за $5, настроить ssh-туннель с локальным SOCKS5 и заворачивать туда.
Или можно выбросить Tor, купить VPS за $5, настроить ssh-туннель с локальным SOCKS5 и заворачивать туда.
Н, да. Чем быть только не занимался айтишник, лишь бы только не…
Какая-то странная контора: обеспечиваете доступ к заблокированным ресурсам через анонимизатор TOR, но при этом хотите видеть куда ходят пользователи…
Что странного? Статистика\контроль интернет-трафика есть почти везде. А разрешение доступа к заблокированным ресурсам — уже писал выше, что это и зачем. Я прекрасно вижу, какие запросы от кого и куда отправились через TOR, так как это Squid c Cache Peer. В логи все прекрасно попадает с допиской «FIrst Parent»
Меня больше практический вопрос интересует, а скорость достаточная? Tor-ом пользоваться это боль, многие сайты рвут соединение. KeepAlive до 30 секунд включительно портит нервы. Ну, а некоторые детектят выходные ноды Тора и просто шлют лесом.
В конфиг Tor можно добавить
Это исключает использование выходных узлов в указанных странах (хотя, вероятность, что вам попадётся именно российский узел, мала, но она есть). Ещё придётся установить пакет tor-geoip (в Debian — tor-geoipdb).
ExcludeExitNodes {ru,ua}Это исключает использование выходных узлов в указанных странах (хотя, вероятность, что вам попадётся именно российский узел, мала, но она есть). Ещё придётся установить пакет tor-geoip (в Debian — tor-geoipdb).
Товарищ nagibat0r, огромное спасибо! Особенно за статью с bump`ом. Хотел было поназадавать вопросов, но мой беспонтовый статус на хабре не позволяет этого. Собственно вопрос, возможно ли при бампе https гонять содержимое через контент-фильтр по ключевым файлам? Сейчас стоит задача поднять маленький, но очень гордыйфункциональный корпоративный прокси с контент фильтром. Пробовал решения в виде dansguardian — там увы, только обычный http, есть форк e2guardian — там есть https, но умеет его только с подменой и самое худшее не умеет работать прозрачно(
Не за что! Но про бамп я не писал, я писал только про splice) Без MITM не получится контент фильтр сделать, увы. Если нет MITM (SSL Bump), то вся работа прозрачного прокси сводится в просмотру SNI, где только домен и ничего более.
Хочу поделиться альтернативным вариантом — sniproxy, который рулит в tor или куда-то еще, плюс dnsmasq или другой dns-сервер, который отдает для интересующих хостов айпишник машины, на который работает sniproxy. Решение гораздо более легковесное, у меня работает на роутере с openwrt, плюс не надо ничего собирать.
Хорошая статья, было бы здорово, чтоб все это работало еще в режиме спуфинга TRPROXY для разделения групп компов по разным провайдерам
UFO just landed and posted this here
А что мешает прописать их на Squid? Почитайте оф.документацию и оф. вики, и Вы поймете, что Squid можно настроить так, что он практически не чихнет и не пыхнет даже от 15млн IP и доменов.
UFO just landed and posted this here
Уважаемый, вы пробовали в конторе заворачивать все на забугорный VPS? Как Вы себе это представляете? Я уже выше писал, напишу еще раз, раз уж так нужно. VPS\VPN и прочее не предоставляют возможностей по масштабированию, абсолютно, никак и никогда. Да и не нужно эти ваши 15млн IP адресов прописывать. Тема статьи — как обойти блокировки тех ресурсов, которые оказались заблокированными случайно, но очень нужны. Если Вы лично уверены, что 15млн IP адресов для этой связки — «адово медленно», тогда я прошу Вас предоставить тесты с наблюдениями) К тому же, если уж вдруг Squid настроен не оптимальным образом и система тормозит, в конце концов можно открыть оф.вики и настроить под себя. Squid в любом случае настраивается под конкретные условия. Под конкретную сеть. Если не хватает времени оттестировать систему и настроить так, как полагается, то поставьте еще один Squid на ту же виртуалку, да настройте roung robin, проблем абсолютно никаких. А вот с использованием забугорных VPS — как раз таки вещь ОЧЕНЬ не надежная. Это все блокируется. И даже очень. В отличие от Tor. И Tor тоже позволяет масштабироваться. Сделайте несколько конфиг файлов, разные порты, да запускайте хоть 100 копий, и будет 100 туннелей, которые опять же можно прикрутить к Squid (round robin).
UFO just landed and posted this here
Еще раз. Решение на VPS\VPN — не надежное! Не масштабируется никак! Squid+Tor масштабируются, и надежно. Основная проблема — доступ к HTTP\HTTPS ресурсам, как ни крути.
UFO just landed and posted this here
И еще раз… Сколько стоит Ваше решение вопроса?) 10 VPS с VPN, Вы серьезно?)
VPN, VPS — еще раз, не надежное решение, в перспективе. VPN блокируется как таковой. Причем легко, в отличие от Tor с obfs. И Tor бесплатен, если интересует именно скорость, то как я уже сказал, ничего не мешает сделать несколько сервисов и настроить на них Squid. К тому же, я готов к более конструктивному обсуждению Вашего способа. Предоставьте обзор, я только рад, на такую-то тему
VPN, VPS — еще раз, не надежное решение, в перспективе. VPN блокируется как таковой. Причем легко, в отличие от Tor с obfs. И Tor бесплатен, если интересует именно скорость, то как я уже сказал, ничего не мешает сделать несколько сервисов и настроить на них Squid. К тому же, я готов к более конструктивному обсуждению Вашего способа. Предоставьте обзор, я только рад, на такую-то тему
UFO just landed and posted this here
Я видел эту статью. Это вариант. Но!
1) нужен сервер «где-то там». И насколько он будет доступен — тоже вопрос.
2) не для каждого CCNP.
3) как Вы сами же изъяснились, «Какое-то некрасивое полурешение»
4) платно. Почему кто-то должен дополнительно платить за то, чтобы работать в Интернете, если он уже итак за него платит?
Это малая часть недостатков. Безусловно, там есть и свои плюсы. Подход абсолютно другой. Каждый сам решает, с чем ему извращаться. Можно покупать VPS за бугром, настраивать до него туннели и т.п., с маршрутизацией копаться. Можно настроить несколько сервисов Tor, использовать и не беспокоиться о скорости и о том, что «оно отвалится» из-за каких-то там аварий\блокировок и т.д.
Здесь ведь еще, не забывайте, вопрос доступности для других. Вы сможете реализовать. Я смогу. Петр — сосед сисадмин не сможет, Евгений не сможет, и т.д. Поставить Squid, Tor, настроить за 10 минут базовый конфиг из статьи сможет практически любой админ, хотя бы немного знающий Linux. И решение в принципе не уступает вышеназванной статье по функционалу. Вы говорили, что «интернет не ограничивается https и https». Это верно. Но… К чему нужно получить доступ вне этих протоколов? Если заблокирован доступ к какому-то серверу по SSH, что мешает пускать SSH через тот же Squid?) Или FTP?
1) нужен сервер «где-то там». И насколько он будет доступен — тоже вопрос.
2) не для каждого CCNP.
3) как Вы сами же изъяснились, «Какое-то некрасивое полурешение»
4) платно. Почему кто-то должен дополнительно платить за то, чтобы работать в Интернете, если он уже итак за него платит?
Это малая часть недостатков. Безусловно, там есть и свои плюсы. Подход абсолютно другой. Каждый сам решает, с чем ему извращаться. Можно покупать VPS за бугром, настраивать до него туннели и т.п., с маршрутизацией копаться. Можно настроить несколько сервисов Tor, использовать и не беспокоиться о скорости и о том, что «оно отвалится» из-за каких-то там аварий\блокировок и т.д.
Здесь ведь еще, не забывайте, вопрос доступности для других. Вы сможете реализовать. Я смогу. Петр — сосед сисадмин не сможет, Евгений не сможет, и т.д. Поставить Squid, Tor, настроить за 10 минут базовый конфиг из статьи сможет практически любой админ, хотя бы немного знающий Linux. И решение в принципе не уступает вышеназванной статье по функционалу. Вы говорили, что «интернет не ограничивается https и https». Это верно. Но… К чему нужно получить доступ вне этих протоколов? Если заблокирован доступ к какому-то серверу по SSH, что мешает пускать SSH через тот же Squid?) Или FTP?
UFO just landed and posted this here
Повторюсь. Obfs
UFO just landed and posted this here
Вы, уважаемый, видимо тоже ничего не догоняете в отношении Tor! И вы своими «не валяйте дурачка» и «учитесь ставить VPS» переходите уже планку приличия. Я Вам не буду кидать сервисы типа «давай я поищу в гугле вместо тебя», думаю Вы сами откроете оф.документацию Тор и поймете, что нет никаких публичных мостов. С 2012 года их не существует. И список взять неоткуда
думаю Вы сами откроете оф.документацию Тор и поймете, что нет никаких публичных мостов. С 2012 года их не существует. И список взять неоткуда
В Китае Тор блокируется.
И список взять неоткуда
Не смешите.
Исходники Тора открыты. Никто не мешает РКН подключиться как обычному пользователю для получения списка мостов — кандидатов на блокировку.
И сделать все автоматизировано.
Имхо, вопрос времени.
Я уже столкнулся в двух уральских городах с крайне отвратительной работой Тор. Без мостов вообще не работало. С мостами — дико медленно.
При том что канал в интернет сам по себе был довольно жирный.
Что? Вы сначала хотя бы проверьте информацию. В Китае блокируется Тор так же, как и в других местах, то есть через одно место, obfs там прекрасно работает. Не вводите в заблуждение других
Кстати, при чем здесь исходники? Вы смотрели, как он устроен и как оно вообще работает?)
Через бриджи все прекрасно работает, нужно уметь это настраивать
Через бриджи все прекрасно работает, нужно уметь это настраивать
Перекрыть Tor можно только полным отключением от глобальной сети, имейте это в виду, прежде чем делать такие заявления
Перекрыть Tor можно только полным отключением от глобальной сети, имейте это в виду, прежде чем делать такие заявления
До того, как РКН из-за какого то Телеграмчика начал блочить по десяткам миллионов адресов — вам можно было поверить.
Но государство показало, что у него есть рычаги для очень масштабных действий. Другое дело, что эти рычаги нужно еще тонко подстроить.
Но количество нод Тора не бесконечно. Совсем не обязательно полностью отключать интернет, чтобы залочить значительную часть нод.
Оставшимися после этого будет трудно пользоваться для чего нибудь серьезного — из-за возросшей нагрузки.
Вам говорят о том, что ноды Тора — это в той или иной степени — публичная вещь. Публичные VPN уже блокировать начали. И до Тора доберутся.
Частные VPS сервера, — другое дело. О них никто не знает кроме вас.
И еще раз… Сколько стоит Ваше решение вопроса?) 10 VPS с VPN, Вы серьезно?)
10 VPS — это от 10 до 30 долларов в месяц.
Но этого не нужно.
Вы в пылу спора навыдумывали ерунды, частные VPN на базе своего VPS (не те, что предоставляют публичные услуги) — не имеют никаких повышенных рисков по блокировке.
К счастью, я ничего не выдумал. И Вам советую сначала хорошенько разобраться, попробовать, и делать выводы. Если Вы, как один товарищ выше, думаете что «мне нужно идти и учиться поднимать VPS», то знайте, что поднимал, поднимаю кучу VPS. Знаю что это такое. А также знаю, что такое Tor. И знаю, что еще нигде не получилось его заблокировать и не получится. И как Вы описали метод блокировки мостов — это на самом деле смешно. Это не получится! Как Вы себе это представляете?
Уважаемый, вы пробовали в конторе заворачивать все на забугорный VPS? Как Вы себе это представляете? Я уже выше писал, напишу еще раз, раз уж так нужно. VPS\VPN и прочее не предоставляют возможностей по масштабированию, абсолютно, никак и никогда.
Это если не знать насколько медленным является Тор.
Вы предлагаете для масштабирования добавлять входные ноды Тора.
Когда всего лишь 1 сервер VPS/VPN на минимальном тарифном плане будет попроизводительнее нескольких входных нод Тора.
Тор-то базируется на ровно тех же каналах интернета, он не является более скоростным чем VPS за счет какого-то волшебства.
Могут быть проблемы с слишком большими затратами процессорного времени на шифрование. Так ведь вам для обхода, а не для сокрытия. Значит, можно обойтись без шифрования. Какой нибудь bird завести вместо полноценного VPN и процессора уже хватит.
К тому же, «сквиду придется сравнивать каждый запрос с этой базой» наводит на мысль, что Вам желательно почитать вики на оф.сайте) Почитайте, Вам станет все намного понятнее и прозрачнее в отношении Squid.
На самом деле squid не особенно и нужен для данного сценария. Детектировать обращение к запрещенному ресурсу можно во время name resolving'а и запихивать IP в rdr правила iptables.
Отлично работает даже на low-end домашних роутерах за несколько тысяч рублей.
Здесь подробно описал habr.com/post/270657
Отлично работает даже на low-end домашних роутерах за несколько тысяч рублей.
Здесь подробно описал habr.com/post/270657
Хорошо. Но масштабируемости в принципе нет. Squid + Tor позволяет масштабировать систему насколько угодно. Ваш способ годится разве что для дома, как действительно простое и легкое решение. Со своими минусами и плюсами.
UFO just landed and posted this here
Увы, но Вы плохо представляете возможности Tor, Squid.
никто не заставляет использовать именно тор: есть возможность/желание — поднимайте впн и маршрутизируйте блокированный трафик в него
Хорошо. Но масштабируемости в принципе нет. Squid + Tor позволяет масштабировать систему насколько угодно.
Это не ваша личная сеть.
И она не расширяется сама по себе, как облако, когда просто платишь больше.
Вы можете обойти первоначальную ограниченность скорости сети Тора — путем использования дополнительных входных нод.
Но не забывайте, что этим ноды до вас не пустовали. Ими пользуетесь не только Вы и их число не бесконечно.
Так что насчет масштабируемости — вы явно оптимистично. Там куча ограничений.
она не расширяется сама по себе
К слову, сеть Tor расширяется каждый месяц и довольно неплохо.
Так что насчет масштабируемости — вы явно оптимистично. Там куча ограничений.
Какие — такие ограничения, которые нельзя компенсировать? Спрашивали про скорость — я уже ответил. Доступность? Легко, уже ответил. Поддержка? Легко. Какие там еще есть ограничения? Зато в VPS+VPN есть куча ограничений, которые довольно критичные в условиях всяких блокировок\слежек\другого тотального бреда. И этих ограничений нет в Tor. И даже если понаставят кучу DPI с супер умными алгоритмами, Tor будет работать и при должной настройке с хорошей скоростью, чего я, к сожалению, не могу сказать про VPN.
Я предлагаю просто закрыть диалог, так как это переливание из пустого в порожнее. Все уже выше написал, и всё равно люди говорят одно и то же.
А что вы понимаете под масштабируемостью, простите?
В статье предложена конкретная реализация метода на openwrt. Онная платформа естественно подразумевает собой soho-использование, но, во-первых, никто не заставляет использовать именно ее.
Во-вторых даже в этой конкретной реализации пожалуй единственная плохо масштабируемая вещь — dnsmasq. При необходимости отслеживание резолвинга 'запрещенки' можно сделать на том же unbound, причем с преферансом и поэтессами. Для soho (на который заточена статья) это естественно перебор, но если встает вопрос масштабируемости, то python в зубы и вперед.
Вся остальная обработка трафика такая же, как у большинства других linux based routers. В сценариях, когда софтовые маршрутизаторы окажутся недостаточно масштабируемы во-первых очень врядли есть место сквиду, во-вторых есть более простые и радикальные способы решения проблем с блокировками.
В статье предложена конкретная реализация метода на openwrt. Онная платформа естественно подразумевает собой soho-использование, но, во-первых, никто не заставляет использовать именно ее.
Во-вторых даже в этой конкретной реализации пожалуй единственная плохо масштабируемая вещь — dnsmasq. При необходимости отслеживание резолвинга 'запрещенки' можно сделать на том же unbound, причем с преферансом и поэтессами. Для soho (на который заточена статья) это естественно перебор, но если встает вопрос масштабируемости, то python в зубы и вперед.
Вся остальная обработка трафика такая же, как у большинства других linux based routers. В сценариях, когда софтовые маршрутизаторы окажутся недостаточно масштабируемы во-первых очень врядли есть место сквиду, во-вторых есть более простые и радикальные способы решения проблем с блокировками.
Под масштабируемостью я подразумеваю именно её. В Вашей статье есть реализация, которая идеально подходит, как я уже сказал, для дома (где вполне может быть роутер с OpenWrt).
Это явно не сходится с Вашими словами «есть более простые и радикальные способы решения проблем с блокировками.». Я же сказал, что если вдруг скорости не хватает — да просто даже клонируем конфиг файл Tor, ставим другой порт, запускаем, в Squid указываем еще один Cache peer, всё… Что может быть проще этого?
Я не говорю, что Ваш способ плох. Он просто другой. Со своими — и +
python в зубы и вперед.
Это явно не сходится с Вашими словами «есть более простые и радикальные способы решения проблем с блокировками.». Я же сказал, что если вдруг скорости не хватает — да просто даже клонируем конфиг файл Tor, ставим другой порт, запускаем, в Squid указываем еще один Cache peer, всё… Что может быть проще этого?
Я не говорю, что Ваш способ плох. Он просто другой. Со своими — и +
Не нужно смешивать 'способ' и 'реализацию'.
'ваш' способ — разбирать трафик на L7
'мой' — перехватывать обращения к DNS и на их основе менять правила маршрутизации (L3)
А что squid, что openwrt — это уже детали реализации.
Он просто другой. Со своими — и +
Абсолютно верно. Но эти '+' и '-' вовсе не масштабируемость.
В случае разбора трафика на L7 (ваш способ со squid) можно более точно определять заблокированность ресурса и меньше трафика направлять 'в обход'.
А в случае работы на L3 атомарной единицей разблокировки становится IP адрес.
С одной стороны большая точность это конечно же плюс.
С другой — она никак не должна быть выше точности с которой блокирует провайдер, иначе итог точной разблокировки немного не оправдает ожидания.
Разбирая трафик на L7 мы естественно ограничиваемся только теми протоколами, которые умеем на L7 разбирать (привет телеграму).
Ну и работа на L3 менее ресурсоемка.
ps:
если вдруг скорости не хватает — да просто даже клонируем конфиг файл Tor, ставим другой порт
если это и есть 'масштабируемость', то она достигается даже на конкретной реализации с openwrt: "просто клонируете конфиг tor, ставите другой порт" и добавляете redirect в iptables, регулируя распределение трафика тем же random.
pps:
под более простым и радикальным способом я имел в виду, что если вы действительно уперлись в потолок масштабируемости софтовых роутеров, то сеть у вас бооольшая, аплинков несколько и почти наверняка есть своя AS (а если нет — имеет смысл ее получить). Дальше объясняете своим аплинкам, что вы большой и взрослый, трафик у вас транзитный и фильтровать его вы будете сами.
У меня при подключении к прокси хром ругается ERR_PROXY_CERTIFICATE_INVALID.
При создании сертификата CN указывал. ЧЯДНТ?
При создании сертификата CN указывал. ЧЯДНТ?
Телепаты в отпуске) Что Вы делали? Как Вы делали? Конфиг?
Спасибо за ответ.
Конфиг pastebin.com/4zrVrw7r — просто прокси без тора и фильтрации для начала. Хром негодует.
В чём может быть проблема? Сертификат создавал командой из статьи.
Конфиг pastebin.com/4zrVrw7r — просто прокси без тора и фильтрации для начала. Хром негодует.
В чём может быть проблема? Сертификат создавал командой из статьи.
У Вас в конфиге в принципе неверное использование. Вы пытаетесь использовать авторизацию и прозрачность. Читайте вики по Squid.
Прозрачность — это прозрачность, никакой авторизации и настроек на стороне клиента. Только заворачивайте файрволом порты на Squid и все. И Squid должен быть шлюзом по-умолчанию для клиентов.
Прозрачность — это прозрачность, никакой авторизации и настроек на стороне клиента. Только заворачивайте файрволом порты на Squid и все. И Squid должен быть шлюзом по-умолчанию для клиентов.
Давно уже сделал соединение, через tor для указанных доменов, через расширение FoxyProxy для Firefox. Достаточно добавить соединение к 127.0.0.1 и тор порту (9050) и оно было активно для белого списка сайтов. В списке сайтов уже добавлять по regexp или wildcard шаблону.
Как решение «для себя одного» вполне. Кстати, плагин давно знаю, раньше часто спасал
У себя заменил FoxyProxy на SmartProxy. У него есть удобная фишка — полуавтоматическое создание правил для недоступных хостов. Полезно для сайтов, которые используют заблокированные внешние ресурсы, не нужно искать, что именно отвалилось. И в целом интерфейс поудобнее.
Решение хорошее. Да, а для себя есть и обычные vpn
При таком конфиге, чтобы обойти заблокированные адреса https достаточно в браузере прописать прокси :3130. Это можно как-то быстро поправить?
Sign up to leave a comment.
«Прозрачный» HTTPS прокси для обхода блокировок Роскомнадзора