☰

Verkehr von der Bridge zum HTTP-Proxy umleiten

tag-icon • tag-icon linux networking openvpn sandbox firejail
Verkehr von der Bridge zum HTTP-Proxy umleiten

Wenn ich eine neue Instanz einer Ethernet-Bridge erstelle:

# brctl addbr br1
# ip link set dev br1 up
# ip addr add 10.100.100.1/24 dev br1

Beginnen Sie mit tinyproxydem Abhören localhostauf dem Standardport 8888:

# tinyproxy

Erstellen Sie mit firejaileinen neuen Netzwerk-Namespace und verbinden Sie ihn mit der Bridge:

# firejail --net=br1 /bin/bash

Wie würde ich dann den Verkehr über die Brücke zu umleiten tinyproxy, sodass beispielsweise curleine Webseite aus der firejailSandbox abgerufen wird:

# curl --proxy http://10.100.100.1:8888 http://wtfismyip.com/text

Antwort1

Der folgende Befehl ist nützlich, um Ketten zu leeren/löschen und zu deaktivieren ufw:

# /lib/ufw/ufw-init flush-all

Erstellen Sie eine Ethernet-Brücke:

ext_if="enp8s8"
bridge="brtp8888"
proxy_port="8888"  # tinyproxy default

brctl addbr "${bridge}"
ip link set dev "${bridge}" up
ip addr add 10.100.100.1/24 dev "${bridge}"
# Allow the bridge to route traffic to localhost
sysctl net.ipv4.conf."${bridge}".route_localnet=1

Leiten Sie TCP-Verkehr, der an Port 8888 der Brücke gerichtet ist, weiter an tinyproxy:

iptables -t nat -A PREROUTING -i "${bridge}" -p tcp -j DNAT --to-destination 127.0.0.1:"${proxy_port}"
iptables -t nat -A POSTROUTING -s 10.100.100.0/24 -o eth0 -j MASQUERADE

(NB: Das Obige wurde adaptiert vonFirejail mit Tor – Anleitung.)

Tinyproxy beschränkt Verbindungen auf, localhostsofern keine andere Konfigurationszeile vorhanden ist. Bearbeiten Sie dazu /etc/tinyproxy.conf:

Allow 10.100.100.0/24

Ein umfassenderer Satz von iptables-Regeln:

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -i "${bridge}" -p tcp --dport "${proxy_port}" -j ACCEPT
iptables -t nat -A PREROUTING -i "${bridge}" -p tcp -j DNAT --to-destination 127.0.0.1:"${proxy_port}"  # tinyproxy default
iptables -t nat -A POSTROUTING -s 10.100.100.0/24 -o eth0 -j MASQUERADE

Das ufwÄquivalent:

## Copy the following into /etc/ufw/before.rules (see man ufw-framework, 'Port Redirections')
# *nat
# :PREROUTING ACCEPT [0:0]
# -A PREROUTING -p tcp -i brtp8888 --dport 8888 -j DNAT \
#   --to-destination 127.0.0.1:8888
# COMMIT
# *nat
# :POSTROUTING ACCEPT [0:0]
# -A POSTROUTING -s 10.100.100.0/24 -o eth0 -j MASQUERADE
# COMMIT

ufw allow in on "${bridge}" from 10.100.100.0/24 proto tcp

Siehe auch diesen BeitragFirejail und Verbindung zum Internet über einen Host-OpenVPN-Client.

Ich wäre interessiert, wenn mir jemand erklären könnte, warum es auch funktioniert, wenn man wie oben beschrieben eine Brücke erstellt, eine Sandbox mit Firefox öffnet --net=br1und den HTTP-Proxy von Firefox auf die Gateway-IP (also einen beliebigen Port) einstellt .br1

verwandte Informationen