使用 iptables 透明代理 TCP 与 UDP
- - 依云's Blog本文来自 依云's Blog，转载请注明. 很早之前，我在 《Linux「真」全局 HTTP 代理方案》中介绍了 redsocks 方案. 不过它只处理了 TCP，并没有处理 UDP，DNS 也是采用强制 TCP 的方式来处理的，再加上它本身还要将请求转发到真正的代理客户端，延迟比较高. 然后，还可以结合 Wi-Fi 分享 或者 网络命令空间，玩点更有趣的.
使用 iptables 透明代理 TCP 与 UDP
标签：
网络
| 发表时间：2018-07-16 17:01 | 作者：依云
出处：https://blog.lilydjwg.me/
本文来自 依云's Blog，转载请注明。
很早之前，我在 《Linux「真」全局 HTTP 代理方案》中介绍了 redsocks 方案。不过它只处理了 TCP，并没有处理 UDP，DNS 也是采用强制 TCP 的方式来处理的，再加上它本身还要将请求转发到真正的代理客户端，延迟比较高。然后，还可以结合 Wi-Fi 分享 或者 网络命令空间，玩点更有趣的。
首先要有支持的代理客户端，比如 ss-redir。这个就不用多介绍了，配置好、跑起来即可。以下假设此代理跑在 127.0.0.1 的 $PPROT 端口上。
然后，TCP 的代理设置。使用的是和 redoscks 一样的方案。这个比较简单，除了有一点需要注意： DNAT 到 127.0.0.1 时，需要设置内核选项 net.ipv4.conf.all.route_localnet=1。
最麻烦的是 UDP 的代理，使用的是 TPROXY。首先，需要把要走代理的数据包路由到本地。以下假设我们给要代理的数据包打上标签 1。那么执行：
ip rule add fwmark 1 lookup 100 ip route add local 0.0.0.0/0 dev lo table 100
那个 100 是路由表的编号，可以自己选一个喜欢的。
然后，对于转发流量（来自局域网或者另外的网络命名空间），直接把需要代理的数据包扔给 TPROXY 目标，并且打上对应的标签即可。而对于本地产生的流量，不仅要带有对应的标签，而且需要在 OUTPUT 链打上一个（与之前不同的）标签，触发 reroute check 才行。
最后，对需要代理的数据包设置 iptables 规则：
| 协议 | 来源 | 表 | 链 | 目标 |
|---|---|---|---|---|
| TCP | 本地 | nat | OUTPUT |
-j REDIRECT --to-ports $PPROT |
| 转发 | PREROUTING |
-j DNAT --to-destination 127.0.0.1:$PPROT |
||
| UDP | 本地 | mangle |
OUTPUT PREROUTING |
-j MARK --set-mark 1 -j TPROXY --on-port $PPROT --on-ip 127.0.0.1 |
| 转发 | PREROUTING |
-j TPROXY --on-port $PPROT --on-ip 127.0.0.1 --tproxy-mark 1/1 |
比如来自网络命名空间或者局域网的 IP 段 192.168.57.0/24 全部走代理：
iptables -t nat -A PREROUTING -p tcp -s 192.168.57.0/24 ! -d 192.168.57.0/24 -j DNAT --to-destination 127.0.0.1:$PPROT iptables -t mangle -A PREROUTING -p udp -s 192.168.57.0/24 ! -d 192.168.57.0/24 -j TPROXY --on-port $PPROT --on-ip 127.0.0.1 --tproxy-mark 1/1
相关 [iptables 透明 代理] 推荐：
iptables NAT 学习
- - BlogJava-首页技术区为了搞清楚iptables NAT的过程，做了这个实验. 使用了1台双网卡服务器和1台单网卡服务器，2个网段. 1. 为了看到调度服务器上的数据转发过程，首先在调度服务器上分出内核的debug日志：. l 在/etc/rsyslog.conf最后增加：kern.debug /var/log/iptables.log.
iptables 小结
- - CSDN博客系统运维推荐文章 最近工作上一个作业用到了iptables命令，主要进行端口映射，在网上查了好多资料，尽管有很多例子，但还是整了好几天才整明白. （有一些是从网络中总结的，不断完善中...）. （1） iptables简介. iptables是一个Linux下优秀的nat+防火墙工具，iptables操作的是2.4以上内核的netfilter，所以需要linux的内核在2.4以上.
iptables 详解
- - 行业应用 - ITeye博客以下文章转载于：http://blog.chinaunix.net/uid-26495963-id-3279216.html. 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种. 无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘. 而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测.
iptables原理说明
- - CSDN博客互联网推荐文章1.iptables的前身叫ipfirewall （内核1.x时代）,这是一个作者从freeBSD上移植过来的，能够工作在内核当中的，对数据包进行检测的一款简易访问控制工具. 2. 作者一共在内核空间中选择了5个位置，. 1).内核空间中：从一个网络接口进来，到另一个网络接口去的. 2).数据包从内核流入用户空间的.
iptables 学习总结
- - 小火箭参考文章： 朱双印 iptables. 主机防火墙：对单个主机进行防护. 网络防火墙：通常处于网络的入口/出口，服务于其背后的局域网. 硬件防火墙：在硬件级别实现部分防火墙功能，另一部分功能基于软件实现，性能高，成本高. 软件防火墙：应用软件处理逻辑运行于通用硬件平台之上的防火墙，性能低，成本低.
linux下IPTABLES配置详解
- - Linux - 操作系统 - ITeye博客作者博客：http://www.cnblogs.com/JemBai/. 原文地址：http://www.cnblogs.com/JemBai/archive/2009/03/19/1416364.html. 如果你的IPTABLES基础知识还不了解,建议先去看看. 我们来配置一个filter表的防火墙.
利用iptables 封与解封IP
- - 傻子-王跸西的blog-WangBiXi.comI表示Insert（添加），-D表示Delete（删除）.
iptables 访问控制规则两则
- - 依云's Blog一直以来，面对 Vim 显示的 auth.log 里满屏的红色 ssh 登录失败记录，要么容忍，要么换端口号，要么是 fail2ban. 换端口号显然会造成很多不便，尤其是使用者比较多的时候. fail2ban 以前也用得挺好的，但是需要手工编辑配置文件，阅读其中长长的注释并且小心翼翼地修改参数. 配置好之后还会经常收到 fail2ban 发出的邮件.
[转]iptables防火墙与NAT服务
- - 小鸥的博客iptables防火墙与NAT服务. (1)设置在不同的网络或网络安全域之间的一系列部件的组合,它能增强机构内部网络的安全性. (2)通过审查经过每一个数据包，判断它是否有相匹配的过滤规则，根据规则先后顺序一一进行比较，直到满足其中的一条规则为止，然后依据控制机制做出相应的动作，若都不能满足，则将数据包丢弃，从而保护网络安全.