The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Выпуск nginx 1.19.10, opennews (??), 14-Апр-21, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


16. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (15), 14-Апр-21, 13:09 
А чего не хватает? Вроде всё есть.
Ответить | Правка | Наверх | Cообщить модератору

22. "Выпуск nginx 1.19.10"  +2 +/
Сообщение от Ivan_83 (ok), 14-Апр-21, 15:04 
Нужно принять на 443 соединение, вычитать sni, попытатся подключится напрямую, заслать туда инит тлс сессии, убедится что ответ это валидный тлс ответ, и желательно что там в сертификате тоже самое что запрошено в sni, и после этого начать проксирование обычного tcp соединения.
Если подключится не получилось или тлс там выдал другой сертификат - завернуть соединение в сокс5.

В лучшем случае в nginx сейчас можно наскрести часть которая вычитывает сни и просто тцп дальше проксирует.
Проверить что там адекватный тлс ответ он не может.
Сокс5 плагин в состоянии переписывания - считай что пока нет.

Видимо я буду сам себе это кодить в отдельное приложение, а не ждать ещё годы пока в нгинх это сделают.

Ответить | Правка | Наверх | Cообщить модератору

31. "Выпуск nginx 1.19.10"  +1 +/
Сообщение от Аноним (31), 14-Апр-21, 17:49 
Уж очень специфичная задача, это проще на том же golang написать.
Ответить | Правка | Наверх | Cообщить модератору

41. "Выпуск nginx 1.19.10"  +/
Сообщение от Ivan_83 (ok), 14-Апр-21, 22:04 
Я бы не сказал что специфичная. :)
Это лично мне нужно чтобы автоматом обходить блокировки РКН.

Но да, это не то, для чего создавался nginx, впрочем туда понапихали уже всякого, типа проксирования тцп/юдп.

Буду на сишечке писать, оно потом пригодится в других местах в чуть изменённом виде для немного других целей.

Ответить | Правка | Наверх | Cообщить модератору

43. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (-), 14-Апр-21, 22:10 
Большинство народа вообще прокинуло себе туннели и проксики и не парится.
Ответить | Правка | Наверх | Cообщить модератору

71. "Выпуск nginx 1.19.10"  +/
Сообщение от Ivan_83 (ok), 15-Апр-21, 04:57 
Большинство - это полтора админа которые по другому не могут, потому что оперируют исключительно теми которые уже есть.

Смысл затеи в том, чтобы оно автоматически работало, и не надо было ни от куда никакие списки тягать и играть с загрузкой их в таблицы маршрутизации или фаерволы.
Плюс я не хочу иметь виртуалки, не потому что дорого, а потому что лень их заводить и потом админить всю эту фигню.

Собственно у меня IPv6 от туннельного брокера, для http@IPv4 nginx мне автоматом заворачивает заблокированное на антизапретский прокси.
Осталось только https@IPv4. Как сделать полностью понятно, нужно только начать :)

Ответить | Правка | Наверх | Cообщить модератору

75. "Выпуск nginx 1.19.10"  +1 +/
Сообщение от Аноним (-), 15-Апр-21, 07:20 
> Большинство - это полтора админа которые по другому не могут, потому что
> оперируют исключительно теми которые уже есть.

Это хренова куча рунетчиков, вон вайргада уже везде понапихали. И прочих теневых носков, это даже для китайцев работает.

> Смысл затеи в том, чтобы оно автоматически работало, и не надо было
> ни от куда никакие списки тягать и играть с загрузкой их
> в таблицы маршрутизации или фаерволы.

А, я кажется понял - типа статьи на хабре когда оно пытается детектить левый серт и редиректить. Просто в случае тоннеля это решается намного радикальнее. Без всяких таблиц и файрволов, весь траф улетает в тоннель который просто делается новым дефалт роутом.

К тому же это помогает не только от жандармов, но и...
- От опсосов врезающих попадос с картинками за деньги. В плейнтекст они порой могут хидер с номером телефона врезать ажно. Чтобы партнер знал кого обдираем.
- В открытой вафле от вяких хаксоров.
- От провов пытающимися врезать рекламу на полэкрана и проч.

> Плюс я не хочу иметь виртуалки, не потому что дорого, а потому
> что лень их заводить и потом админить всю эту фигню.

Честно говоря не понял этот реверанс, имеючи дюжину VMов запущеных прям тут. А админить - чего их админить? Ну, настроить апдейты из репы, можно своего, если довески надо, да и делов.

> Собственно у меня IPv6 от туннельного брокера, для http@IPv4 nginx мне автоматом
> заворачивает заблокированное на антизапретский прокси.
> Осталось только https@IPv4. Как сделать полностью понятно, нужно только начать :)

Какая-то очень уж частная реализация на конкретную инкарнацию конкретной проблемы, не понятно почему это надо вообще всему глобусу распихать в дефолтном нжинксе. Нжинкс вообще не позиционируется как средство DPI/контр-DPI и обхода блокировок :). Так что вот именно левый сторонний модуль по-моему оптимально. Так к тому же меньше внимания привлекает, и к фирме и много к чему еще. Как вы понимаете, концентрировано отмассировать почки 1 Сысоеву проще чем тыще условных анонимусов написавших всякую фигню.

Ответить | Правка | Наверх | Cообщить модератору

94. "Выпуск nginx 1.19.10"  +/
Сообщение от Ivan_83 (ok), 16-Апр-21, 03:40 
Хорошо, однако это не исключает того, что можно будет просто весь тлс трафик завернуть в тор через сокс5.
Я не имел и не хочу никаких виртуалок, уж лучше поставить тор клиента и заворачивать в него.
Попутно не занося денег говняным опсосам и ростелеку. Ёта мне ничего не врезала и не подписывала, если что.

То что такое извратное проксирование тлс не дело nginx - я согласен, и зря туда напихали проксирование тцп/юдп - это тянет на отдельный продукт, пусть он и будет на базе сдк от нгинх.

Ответить | Правка | Наверх | Cообщить модератору

95. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (95), 16-Апр-21, 13:26 
Оно и так отдельным модулем, который по дефолту не собирается.

То, что во всяких дистрибутивах собирают все модули подряд - это не проблема nginx.

Ответить | Правка | Наверх | Cообщить модератору

97. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (-), 17-Апр-21, 05:36 
> Хорошо, однако это не исключает того, что можно будет просто весь тлс
> трафик завернуть в тор через сокс5.

TLS не позволяет врезать платные картинки или спереть пароли без провальных действий. В свете этого вопрос на счет участи "не TLS" тоже есть. Туннели решают проблему радикальнее.

Пример: 10.11.12.13 для меня всегда сервер почты. TLS ему не надо уметь, все равно без VPN не попадешь, а тот шифрованый. Если же я не доверяю своей инфраструктуре, TLS от этого не поможет. А так VPN и VM решают похожую задачу: отделяют логическое представление от физического.

> Я не имел и не хочу никаких виртуалок,

С учетом современных реалий не хучшая идея на свете: хорошо изолированый от основной системы "вратарь", экипированый, готовый к обстрелу шайбами имеет больше шансов чем мягкотелый десктоп, на котором много барахла и секурная конфига - задолбает.

Пример: на task-specific VM можно не уметь в модули ядра. А зачем? Бутлоадер и кернел? "Kernel magically appears". Кернел из VM нельзя заменить: нет такой абстракции. Это должно порадовать руткитчиков, максимум - патч в RAM до ребута и usermode пакости. Но на всякий случай я могу вон там в консольке дебагсервер запустить, или RAM дампнуть и пофиг живая ос или где. Хорошо быть гипервизором, что ни говори.

На железках сравнимые вещи возможны лишь местами, зависит от конфиги, и уж точно не про десктоп где это заколебет.

> уж лучше поставить тор клиента и заворачивать в него.

1. Одно другому не мешает.
2. Сильно пазные уровни изоляции, секурности и предсказуемости.

В моей конфиге ни бита трафа вообще никуда не попадет пока я не сделаю очень хитрый пинок программы. Так я узнал что г(н)омокалькулятор пытался апдейтить какие-то там курсы без спроса. На что был послан инфраструктурой в пешее эротическое, а лог, вот, запалил гада. Лишний повод заменить падлюку на кутевый вариант :)

> Попутно не занося денег говняным опсосам и ростелеку.

Так я тоже никому денег не заносил... просто декоррелировал малость мух от котлет.

> Ёта мне ничего не врезала и не подписывала, если что.

Я как-то не могу гарантировать себе что всегда буду гнать траф через 1 оператора, что у него везде покрытие есть, и что он не скурвится. Поэтому предпочитаю менее сферически-вакуумные решения, готовое.

> То что такое извратное проксирование тлс не дело nginx - я согласен,
> и зря туда напихали проксирование тцп/юдп - это тянет на отдельный
> продукт, пусть он и будет на базе сдк от нгинх.

У низ была какая-никакая инфраструктура и оно в простом виде не очень сложно само по себе, т.к. в конечном итоге ему один фиг надо уметь и вход и выход по хорошему, чего б при этом простой проксь не запилить? Но вон то уже не вписывается в ту идею и проксь получается какой-то не простой, и все это - только ради весьма специфичного кейса, при 100500 других решений тех проблем.

Ответить | Правка | К родителю #94 | Наверх | Cообщить модератору

49. "Выпуск nginx 1.19.10"  +1 +/
Сообщение от Аноним (31), 14-Апр-21, 22:21 
А, это. Ну, да, Nginx точно не для такого создавался.

Я себе как только все это началось поднял l2tp на прибалтийской виртуалке, завернул туда весь трафик и вообще не парюсь - тем более что виртуалка и для других целей используется. Конечно, пришлось поискать локацию с минимальным падением пинга и скорости, ну и некоторые подсети типа госуслуг и налоговых добавить в исключения, но один фиг так проще.

Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

63. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (-), 15-Апр-21, 03:24 
Последних лучше добавить в -j DROP во всех смыслах этого слова :P
Ответить | Правка | Наверх | Cообщить модератору

72. "Выпуск nginx 1.19.10"  +/
Сообщение от Ivan_83 (ok), 15-Апр-21, 04:59 
Да, с tls у него не очень, когда нужно не на себе терминировать :)
Виртуалка муторно и слишком статично, те легко блокируется и юзать в таком виде через опсоса не получится.
Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

78. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (-), 15-Апр-21, 07:37 
> Да, с tls у него не очень, когда нужно не на себе терминировать :)

Это вообще довольно экзотичная категория задач.

> Виртуалка муторно и слишком статично, те легко блокируется и юзать в таком
> виде через опсоса не получится.

В смысле? Виртуалки ровно настолько статичны или динамичны насколько этого хочет их владелец. И ничего муторного нет, особенно если запилить себе минимальный образ системы и раскатывать его. А две (или более) виртуалок, 1 на той стороне, 1 на этой вообще между собой что угодно изобразят. При том декоррелировав от компа по сути. И какая разница, опсос или нет? Опсос чем-то таким специальный? У меня vpn пару раз пролазил даже через теоретически-платный вайфай, просто потому что админы репоголовые, без оплаты дропают что-то типа 80 и 443 TCP, для хомяков оно фатально - "инета нет". Но впн не это - ему оказалось можно. И с вайргадом, и с опенвпном было. Если хочется это как фичу - повесить на правильные порты которые редко давят, сами догадаетесь какие.

Вы вррбще про какую виртуалку? На своей стороне? На ремотной стороне? И почему нжинкса зобанить сложнее чем <то куда нжинкс редиректит для обхода>? К тому же vpn можно комбинировать.

Ответить | Правка | Наверх | Cообщить модератору

91. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (95), 15-Апр-21, 14:25 
Я, помнится, поднимал openvpn на 53:udp. В доброй половине случаев этот дешевый трюк вполне срабатывал на платных wifi - скажем, в аэропортах (в нынешние карантинные времена это, конечно, уже не столь актуально).
Ответить | Правка | Наверх | Cообщить модератору

98. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (-), 17-Апр-21, 05:42 
> Я, помнится, поднимал openvpn на 53:udp. В доброй половине случаев этот дешевый
> трюк вполне срабатывал на платных wifi - скажем, в аэропортах (в
> нынешние карантинные времена это, конечно, уже не столь актуально).

Ну вот, пришел анонимус и спалил фокус-покус, который работает далеко не только в аэропортах :). Более того - половина ламоадминов по критерию не уплачено только 80 и 443 TCP режут, ну а чего, от хомячков хватает, у них "не работает инет" и они лезут за кошельком.

Иногда через такого ламоадмина и тор запускается, но юзеров с оным не так много чтобы это профит нагибало - никто и не парится.

Ответить | Правка | Наверх | Cообщить модератору

90. "Выпуск nginx 1.19.10"  +/
Сообщение от Аноним (95), 15-Апр-21, 14:12 
А за что её блокировать-то? Я ж ее публично никому не раздаю. 4 года уже работает без проблем.

Чтобы не терминировать и заглянуть в SNI, есть ngx_stream_ssl_preread_module, но вот с тем, что дальше, уже сложно. Только если на lua-модуле что-то изобразить, но, похоже, там ручек не хватит.

Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру