The note-shadowsocks from witee

笔记：使用 shadowsocks + dnsmasq + ipset + iptables 实现公办网络透明代理（智能翻墙）

update: 根据《中华人民共和国网络安全法》的相关规定，“翻墙”是违法行为，本文仅作为学习、交流使用。

网上大多数写的都是关于 openWRT 路由器关于 shadowsocks 的配置，我这里写的是关于办公网络的配置，希望对大家有所帮助。

所用到的软件
- shadowsocks : https://github.com/shadowsocks/shadowsocks-libev
- dnsmasq: http://www.thekelleys.org.uk/dnsmasq/doc.html
网络拓扑
- 网关服务器有两块网卡，eth1为内网，eth0为外网，通过iptables nat转发将内网包转发到外网，
```
  -A POSTROUTING ! -s 192.168.2.1/32 -j SNAT --to-source xxx.xxx.xxx.xxx
```
  以下是 iptables 相关表与链的图，帮助理解 iptables 的设置:
- 网关安装 dnsmasq 提供本地dns服务
通过代理服务器访问国外网站的结构图

代理服务器上安装：

安装依赖包

  yum install build-essential autoconf libtool openssl-devel gcc git -y

安装 shadowsocks

  git clone https://github.com/shadowsocks/shadowsocks-libev.git  
  cd shadowsocks ; ./configure —prefix=/usr/local/shadowsocks
  make; make install; mkdir /usr/local/shadowsocks/etc/

shadowsocks 配置文件，ss-local、ss-server、ss-redir 都是同样的配置

  cat /usr/local/shadowsocks/etc/config.json
  {
    "server":”your.server.ip.x",
    "server_port”:1194,
    "local_port":1080,
    "password”:”your_passwd",
    "timeout":600,
    "method":"aes-256-cfb"
  }
  解释：
      "server":"[服务器IP地址]",
      "server_port":[服务器端口],
      "local_port":[本地端口],
      "password":"[密码]",
      "timeout":600,
      "method":"[加密方式]"
  }

启动脚本

  [root@localhost ~]# cat /etc/init.d/shadowsocks

  start() {
      echo "Starting ss-server..."
      /usr/bin/nohup /usr/local/shadowsocks/bin/ss-server -c /usr/local/shadowsocks/etc/config.json >>/tmp/shadowsock.log 2>&1 &

  }
  stop() {
      echo "Stopping ss-server..."
      killall ss-server
  }

  case $1 in
          start)
       start
       ;;
       stop)
       stop
       ;;
       *)
       echo "Usage : $0 start|stop"
       ;;
  esac

  chmod 755 /etc/init.d/shadowsocks
  /etc/init.d/shadowsocks start

网关服务器上安装：

shadowsocks安装方法同上，配置文件一致，启动脚本有所修改：

  [root@localhost ~]# cat /etc/init.d/shadowsocks
   #!/bin/bash

  start() {
      echo "Starting ss-redir..."
      /usr/bin/nohup /usr/local/shadowsocks/bin/ss-redir -c /usr/local/shadowsocks/etc/config.json >>/tmp/shadowsock.log 2>&1 &

  }
  stop() {
      echo "Stopping ss-redir..."
      killall ss-redir
  }

  case $1 in
          start)
       start
       ;;
       stop)
       stop
       ;;
       *)
       echo "Usage : $0 start|stop"
       ;;
  esac

网关服务器上使用的是 ss-redir，也就是透明代理会使用到的程序，如果只是本地用来上网的话，使用 ss-local。到此代理服务器与网关服务器的隧道就建立好了。

将经过网关服务器的请求转发至本地的隧道，也就是 1080 端口，达到代理的目的，但是这样的话，所有的请求都会使用代理，所以要反过来做，将指定IP的请求转发至隧道。

  [root@localhost tmp]# cat ss-black.sh
  #!/bin/sh

  #create a new chain named SHADOWSOCKS
  iptables -t nat -N SHADOWSOCKS

  #Redirect what you want

  #Google
  iptables -t nat -A SHADOWSOCKS -p tcp -d 74.125.0.0/16 -j REDIRECT --to-ports 1080
  iptables -t nat -A SHADOWSOCKS -p tcp -d 173.194.0.0/16 -j REDIRECT --to-ports 1080

  #Youtube
  iptables -t nat -A SHADOWSOCKS -p tcp -d 208.117.224.0/19 -j REDIRECT --to-ports 1080
  iptables -t nat -A SHADOWSOCKS -p tcp -d 209.85.128.0/17 -j REDIRECT --to-ports 1080

  #Twitter
  iptables -t nat -A SHADOWSOCKS -p tcp -d 199.59.148.0/22 -j REDIRECT --to-ports 1080
  iptables -t nat -A SHADOWSOCKS -p tcp -d 205.164.0.0/16 -j REDIRECT --to-ports 1080

  #Shadowsocks.org
  iptables -t nat -A SHADOWSOCKS -p tcp -d 199.27.76.133/32 -j REDIRECT --to-ports 1080

  #1024
  iptables -t nat -A SHADOWSOCKS -p tcp -d 184.154.128.246/32 -j REDIRECT --to-ports 1080

  #Anything else should be ignore
  iptables -t nat -A SHADOWSOCKS -p tcp -j RETURN

  # Apply the rules
  iptables -t nat -A PREROUTING -p tcp -j SHADOWSOCKS

以上是网上的脚本，只有列表中的地址会使用代理。但是这样就得手工维护这个地址，所以要使用更智能的方法，也就是自动获得这些IP地址。

方法是：通过无污染的DNS请求域名，把解析后的IP写到列表中。

具体实施：

yum install ipset: ipset 的使用方法及 ipset 与 iptables 的关系请自行 google
ipset -N setmefree iphash:新建一个 IP 的池子，通过 ipset list 命令可以查到池中的 IP，现在是空的

添加 iptables

  iptables -t nat -A PREROUTING -p tcp -m multiport --dports 443 -m set --match-set setmefree dst -j REDIRECT --to-ports 1080
  iptables -t nat -A PREROUTING -p tcp -m multiport --dports 80 -m set --match-set setmefree dst -j REDIRECT --to-ports 1080
  iptables -t nat -A PREROUTING -p tcp -j RETURN

将 tcp 请求的 80 443 端口并且是在池中的目的地址转发至 1080 端口（使用代理）；其它不使用代理。其中 setmefree 名称要与 ipset -N 时使用的名称一致。

现在池中的地址是空的，所以不会请求通过代理，可以手工添加，方法为：ipset -A setmefree ip/mask ，然后 ipset list 就可以看到了，但这个方法还是很不智能，所以要配合 dnsmasq 来自动添加 IP 地址到池中。

具体方法：

从官网下载 dnsmasq 源码包并安装，不能直接 yum 安装，因为 yum 装的不会支持 ipset，编写文档时 dnsmasq 的版本是：dnsmasq-2.72.tar.gz 如无重大更新，请下载最新版本。

  tar -zxf dnsmasq-2.72.tar.gz; cd dnsmasq-2.72

安装方法在此文件夹的 setup.html 中，也就是直接 make install , 会把程序安装到 /usr/local/sbin/dnsmasq ，然后 cp dnsmasq.conf.example /etc/dnsmasq.conf; 直接执行 dnsmasq 就可以直接启动，配置文件读取 /etc/dnsmasq.conf ，配置文件中打开并指定文件 conf-file=/etc/dnsmasq.d/xxx.conf 修改 xxx.conf 内容为：

  #Google and Youtube
  server=/.google.com/208.67.222.222#443
  server=/.google.com.hk/208.67.222.222#443
  server=/.gstatic.com/208.67.222.222#443
  server=/.ggpht.com/208.67.222.222#443
  server=/.googleusercontent.com/208.67.222.222#443
  server=/.appspot.com/208.67.222.222#443
  server=/.googlecode.com/208.67.222.222#443
  server=/.googleapis.com/208.67.222.222#443
  server=/.gmail.com/208.67.222.222#443
  server=/.google-analytics.com/208.67.222.222#443
  server=/.youtube.com/208.67.222.222#443
  server=/.googlevideo.com/208.67.222.222#443
  server=/.youtube-nocookie.com/208.67.222.222#443
  server=/.ytimg.com/208.67.222.222#443
  server=/.blogspot.com/208.67.222.222#443
  server=/.blogger.com/208.67.222.222#443

  #FaceBook
  server=/.facebook.com/208.67.222.222#443
  server=/.thefacebook.com/208.67.222.222#443
  server=/.facebook.net/208.67.222.222#443
  server=/.fbcdn.net/208.67.222.222#443
  server=/.akamaihd.net/208.67.222.222#443

  #Twitter
  server=/.twitter.com/208.67.222.222#443
  server=/.t.co/208.67.222.222#443
  server=/.bitly.com/208.67.222.222#443
  server=/.twimg.com/208.67.222.222#443
  server=/.tinypic.com/208.67.222.222#443
  server=/.yfrog.com/208.67.222.222#443

  #Dropbox
  server=/.dropbox.com/208.67.222.222#443

  #1024
  server=/.t66y.com/208.67.222.222#443

  #shadowsocks.org
  server=/.shadowsocks.org/208.67.222.222#443

  #btdigg
  server=/.btdigg.org/208.67.222.222#443

  #sf.net
  server=/.sourceforge.net/208.67.222.222#443

  #feedly
  server=/.feedly.com/208.67.222.222#443

  # Here Comes The ipset

  #Google and Youtube
  ipset=/.google.com/setmefree
  ipset=/.google.com.hk/setmefree
  ipset=/.gstatic.com/setmefree
  ipset=/.ggpht.com/setmefree
  ipset=/.googleusercontent.com/setmefree
  ipset=/.appspot.com/setmefree
  ipset=/.googlecode.com/setmefree
  ipset=/.googleapis.com/setmefree
  ipset=/.gmail.com/setmefree
  ipset=/.google-analytics.com/setmefree
  ipset=/.youtube.com/setmefree
  ipset=/.googlevideo.com/setmefree
  ipset=/.youtube-nocookie.com/setmefree
  ipset=/.ytimg.com/setmefree
  ipset=/.blogspot.com/setmefree
  ipset=/.blogger.com/setmefree

  #FaceBook
  ipset=/.facebook.com/setmefree
  ipset=/.thefacebook.com/setmefree
  ipset=/.facebook.net/setmefree
  ipset=/.fbcdn.net/setmefree
  ipset=/.akamaihd.net/setmefree

  #Twitter
  ipset=/.twitter.com/setmefree
  ipset=/.t.co/setmefree
  ipset=/.bitly.com/setmefree
  ipset=/.twimg.com/setmefree
  ipset=/.tinypic.com/setmefree
  ipset=/.yfrog.com/setmefree

  #Dropbox
  ipset=/.dropbox.com/setmefree

  #1024
  ipset=/.t66y.com/setmefree

  #shadowsocks.org
  ipset=/.shadowsocks.org/setmefree

  #btdigg
  ipset=/.btdigg.org/setmefree

  #sf.net
  ipset=/.sourceforge.net/setmefree

  #feedly
  ipset=/.feedly.com/setmefree

注意 server= 与 ipset= 是一一对应的，意思就是通过 dnsmasq 解析出来的 IP 写到地址池 (setmefree) 中。

启动 dnsmasq，当有访问的时候 ipset list 才会显示出地址，此时访问此列表中的地址的 80 443 端口的语法就会通过代理了。

注意事项
- xxx.conf 中使用的 dns 必须是无污染的，也就是没有被强制解析到错误的地址，208.67.222.222 为 Opendns，支持使用非标准端口（443,5353），据说不稳定，当不稳定的时候访问没有在列表中的域名时会不能解析出地址，所以还可以在代理服务器上安装另外一个 dnsmasq，设置缓存大一点（cache-size=1000000），并通过设置 resolv-file=/etc/dnsmasq.resolv.conf 中的 opendns 来解析国外 IP，网关服务器再使用代理服务器上的 dns 来解析，这样如果 opendns 如果不稳定的时候还可以使用代理服务器上的 dns 缓存来解析。
- 代理服务器上安装 dnsmasq 方法一致，只是配置不同：
```
  cache-size=1000000
  resolv-file=/etc/dnsmasq.resolv.conf
  # cat  /etc/dnsmasq.resolv.conf
  # nameserver 208.67.222.222     # 但默认是使用53端口，请自行google如何使用443端口来查询
```
- ipset list 中的地址是不会自动删除的，所以最好定期执行 ipset flush setmefree 来清空 setmefree 中的 IP以保证都是正常的。
- 网关服务器上还可以安装 squid 正向代理。
至此配置完成

如果对你有所帮助，请点击右上角的 Star

witee / note-shadowsocks Goto Github PK

note-shadowsocks's Introduction

笔记：使用 shadowsocks + dnsmasq + ipset + iptables 实现公办网络透明代理（智能翻墙）

note-shadowsocks's People

Contributors

Stargazers

Watchers

Forkers

Recommend Projects

React

Vue.js

Typescript

TensorFlow

Django

Laravel

D3

Recommend Topics

javascript

web

server

Machine learning

Visualization

Game

Recommend Org

Facebook

Microsoft

Google

Alibaba

D3

Tencent