分类目录归档：网络

简单的 BT Tracker 连接检测

发表回复

RT @kgen: 大家 BT 下载的时候，不要开着 VPN，发达国家的版权投诉猛如虎。版权方会主动放出一些正版的 BT 种子，然后收集所有连接来源 IP，投诉或索赔。

这对于 VPN 提供商来说也是一个很头疼的问题。现在的 BT 客户端为了避免被封，已经经进化出了各种加密、混淆手段，直接检测 P2P 流量很困难。不过，大多数时候，客户端都在下载是都会同时连接一些 BitTorrent tracker 服务器。这些服务器数量有限且地址、端口号相对固定，可以非常容易地收集，并直接通过 IP 地址和端口号判断而不必对流量内容进行深度检测。探测到了就扔炸弹。是一个简单易行的判断用户是否正在使用 BT 的方法。

这个方法已在某家梯子站上部署了有一段时间了。鉴于它误报率（false postive rate）低但漏报率（false negtive rate）高，检测到的「处罚」会比较严厉——发现连接就立即挂断这条 VPN 连接。效果似乎还不错，仅有的几次投诉经过排查，发现都是在这套机制的某些环节失效时发生的。

当时为了方便操作，写了几个脚本。现在重新整理了一下，放在了 GitHub 上。这个脚本主要用于从 BT 种子文件里收集 trackers 的地址，然后解析域名得到对应的 IP 地址、协议和端口号。脚本本身并不进行检测等操作，只是为了方便配置防火墙而写。

示例

先在各处收集一些 BT 种子，这些种子文件中通常会包含一个或多个的 trackers。可使用./trackers.py torrent获得 trackers 的 URL 列表，重复的地址会被自动剔除： 继续阅读 →

HSTS Preloading – 让你的域名「嵌入」主流浏览器，一同发行

34条回复

有点标题党的味道，但确实有这种效果，比如我现在用的这个域名sorz.org目前可以在 Chromium 和 Firefox 的源代码中找到。理论上，它也会出现在 Safari 和新版的 IE 里[1]。

当然「听起来好像很厉害」只是个副作用，其目的还是为了确保安全。

TL;DR – 如果你的网站也支持全站 HTTPS，可以考虑配妥 HSTS 后在此提交申请。

（2015-11 更新）现在 Qualys 的 SSL Server Test 也会显示相关信息啦：
ssllabs-result-with-hsts

一切为了安全

现代浏览器在安全上真是做足了功夫。

HTTPS

SSL 协议在早在上世纪末就已提出[2]。目前广泛使用的 TLS 1.2 是它的改良版，在 2008 年正式发布[3]。他们可以在很大程度上，保证数据在 浏览器 与 网站服务器 间传输时的安全，保证他们不在传输过程中被监听或者修改。

但目前仍有大量网站是不提供 HTTPS （SSL/TLS）连接的 [4]，或是只在部分页面提供。浏览器不知道哪些网站使用 HTTPS，用户也不一定知道。现在通常的做法是，浏览器先默认使用 HTTP 连接，如果服务器要求安全连接，再通过这个 HTTP 连接返回给浏览器一个「重定向」，让浏览器转而使用 HTTPS。

这样有一个问题，因为 HTTP 是不安全的，这个「重定向」就有可能被攻击者吞掉。然后攻击者一方面冒充服务器，使用 HTTP 与浏览器进行通讯；另一方面冒充浏览器，与服务器使用 HTTPS 建立连接。这就是所谓的 SSLstrip 攻击。

HSTS

为了解决这个问题，HTTP Strict Transport Security (HSTS, HTTP 严格传输安全) 孕育而出。这个 2012 年才发布的新玩意儿其实很简单，就是制订了一种方法，让服务器能够告诉浏览器：「我支持 HTTPS，今后请仅使用它连接我」。 继续阅读 →

简单的 SSTP 服务器

73条回复

SSTP (Secure Socket Tunneling Protocol) 是微软开发的一种 VPN 协议，用 SSL/TLS 加密 PPP 流量。参见 使用 SSTP 协议的 VPN 有什么优势和缺陷？。

本来没怎么关注这个东西，支持少非主流，IP over TCP，也是因为一些奇怪的事突然有了这方面需求了，才开始了解它。

SoftEther

目前在 Linux，服务器似乎只有 SoftEther 这个实现。这软件也是挺拼的，把各种流行的非主流的 VPN 协议都给实现了一遍，跨平台，GPL。还提供傻瓜化的 GUI 管理，中日英三语界面，简直就是部署 VPN 的大杀器。只是一来太重，二来对 RADIUS 支持不全，不太符合需求。

DIY

因为内部走的是 PPP，如果只是调用 pppd 并转发数据，由 pppd 负责用户认证等麻烦事，自己实现一个目测也不是太复杂。加上微软的官方文档甚详，近来又一直想学一下 Twisted 但又不知如何入手，决定来写一个试试。

托 Twisted 的简单易用，挺顺利地初步完成了这个 SSTP 服务器。

代码放在 GitHub 和 PyPI 上了，sorz/sstp-server 。
PyPI

安装使用

供参考，详见sstpd --help： 继续阅读 →

OpenWrt VPN 按域名路由

简述

这是一种基于域名的 VPN 智能翻越方案。不同于 chnroutes 这类通过维护一个 IP 地址列表来区分国内外网站的方案，基于域名的方式不受 IP 地址变动的影响。仅需维护一个相对很少有变化的域名列表即可。

dnsmasq 在 2.66 版之后加入了对 ipset 的支持，可将指定域名的 IP 解析后自动加入某一 ipset 中。 再配置路由规制，使该 ipset 中的 IP 走 VPN 即可。

感谢 @wzyboy 提供了此方案的思路。

大致流程

  • 配置 VPN
  • 配置 dnsmasq，指定域名
  • 增加一个路由表，默认网关为 VPN
  • 使用 iptables 匹配 ipset 并打上 mark
  • 使用 ip rule 将打上 mark 的包送入该路由表

所需软件

  • iproute2
  • dnsmasq (>= 2.66, has ipset)
  • iptables (with ipset and mark modules)

继续阅读 →

半公开 Shadowsocks 架设注意事项

3条回复

作为一个轻量级代理工具，安装配置很方便，基本上照着 README 做就行了。
这里说下在 Linux VPS 上架设半公开 Shdowsocks 服务可能需要用到的两项额外配置。

同样由于为了保持轻量，Shadowsocks（这类）工具并不提供访问控制（ACL）和流量控制（TC）功能。 这在某些情景下可能产生安全隐患：公开或半公开帐号，可能有不信任的人使用；服务器上同时运行了其他服务。

禁止访问本机与内网

在 Linux 中，使用 TCP/UDP 在进程间通讯十分常见，比如 MySQL、PHP-FPM、Memcached… 它们在 127.0.0.1 上开一个端口，让其他程序连接。

localhost 只有本地应用才可访问，所以一般认为是安全的。但挂上 Shadowsocks 后，在客户端发起的请求，在系统看来，就是本地应用发出的。

感谢 @lilydjwg 的提醒，可以这么做：

Step 1  以outwall用户身份运行 Shadowsocks 继续阅读 →