Безграничный DNS
Версия от 03:18, 9 сентября 2021; Дым (обсуждение | вклад)
Преамбула
Ввиду государственных/корпоративных потуг урезать взрослым людям остатки свободы в хождении по просторам интернетов куда заблагорассудится, встаёт вопрос, каким образом от оных потуг хоть «на минималках» отгородиться.
Что ж, попробуем.
Амбула
Понадобятся пакеты:
- dnsmasq (на уровне организации) или unbound (в масштабе провайдера) — для кэширования запросов к шифрующимся, а значит, довольно неспешным резолверам:
- dnscrypt-proxy (в альте он не собран, так что брал дебиановский) — для резолвинга имён в IP-адреса, не взирая на преграды, ставящиеся хоть вышестоящим провайдером, хоть надзорными органами;
- tor — для резолвинга имён зоны .onion и пропуска к сайтам в этой зоне.
-
Имена-то через торовский ДНС-порт резолвятся — хоть днсмаском, хоть анбаундом. А вот чтоб до них достучаться, эти стуки тоже надо через тора отредиректить.
1. И вот тут как раз нужен тор-параметр «серой» сети VirtualAddrNetwork (у меня он 172.16.0.0/12, ибо в локалках этой адресации нет), рандомное значение из которого и добавляется к ип6-адресу онион-сайта в виде ип4-адреса.
2. Клиентским компам раздать статический маршрут в сеть $VirtualAddrNetwork через тор-машинку.
3. А на ней самой запросы в $VirtualAddrNetwork отнатить на транспортный тор-порт — например, нф-таблицами:
table ip nat {
chain prerouting {
type nat hook prerouting priority filter
iif "lan" ip daddr 172.16.0.0/12 tcp flags & (syn | ack) == syn redirect to 9040
}
}