网络工具 on 红旗下的蛋

ZEROTIER内网穿透实践

Wed, 30 Dec 2020 20:59:15 +0800

内网和外网计算机组成一个局域网，相互能访问，并能访问内网资源。

应用环境

公司内网：一台运行linux的NAS,一台win10笔记本电脑

外网：linux的VPS

家：Win10一台电脑

个人：Android手机

需求

在外网，笔记本电脑、家中的电脑和手机均能访问内网NAS上的云存储，在外网能通过NAS访问内网资源。

方案

在各个终端上安装zerotier，设置VPS为moon，在NAS开启转发。

zerotier的设置可上网查询，记录一下NAS设置转发的命令（网卡名称据实更改）:

设置/etc/sysctl.conf中的net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o enp123s0f0(物理网卡) -j MASQUERADE
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i zt7u3fcxwr(zerotier虚拟网卡) -o enp123s0f0(物理网卡) -j ACCEPT

如果访问内网资源需要用内部域名，需对访问设备的虚拟卡配置dns地址

V2ray的WebSocket+TLS+Web安装记录

Sat, 28 Sep 2019 15:41:27 +0800

一些vpn或代理的特征比较明显容易被识别，虽然是加密的，看不到内容，但知道是vpn，容易被block，采用websoket+tls+web，虽然也是加密的，但和正常web访问类似，不易被block。

整个过程比较简单，前提是要有一个墙外的VPS。

1. vps安装v2ray（服务端）

root权限下执行：

bash <(curl -L -s https://install.direct/go.sh)

2. 修改服务器端配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


{
 "inbounds": [{
 "port": xxxxx, //端口
 "Listen": "127.0.0.1", //本机环回地址，防止外部访问
 "protocol": "vmess",
 "settings": {
 "clients": [
 {
 "id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx", //uuid，客户端一致
 "level": 1,
 "alterId": 64
 }
 ]
 },
 "streamSettings": {
 "network": "ws",
 "wsSettings": {
 "path": "/ray"
 }
 }
 }],
 "outbounds": [{
 "protocol": "freedom",
 "settings": {}
 },{
 "protocol": "blackhole",
 "settings": {},
 "tag": "blocked"
 }],
 "routing": {
 "rules": [
 {
 "type": "field",
 "ip": ["geoip:private"],
 "outboundTag": "blocked"
 }
 ]
 }
}

3. 安装caddy

wget -N –no-check-certificate https://raw.githubusercontent.com/ToyoDAdoubi/doubi/master/caddy_install.sh && chmod +x caddy_install.sh && bash caddy_install.sh install

4. 修改caddy配置

1
2
3
4
5
6
7
8
9


xxx.xxx.xxx //域名
{
 tls xxx@xxx.com //修改为邮箱
 log /var/log/caddy.log
 proxy /ray localhost:xxxx { //和v2ray的端口好对应
 websocket
 header_upstream -Origin
 }
}

5. 重启动服务端

service caddy restart service v2ray restart

6. 客户端安装v2ray

见网络教程

7. 修改v2ray客户端配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43


{
 "inbounds": [
 {
 "port": 1080,
 "listen": "127.0.0.1",
 "protocol": "socks",
 "sniffing": {
 "enabled": true,
 "destOverride": ["http", "tls"]
 },
 "settings": {
 "auth": "noauth",
 "udp": false
 }
 }
 ],
 "outbounds": [
 {
 "protocol": "vmess",
 "settings": {
 "vnext": [
 {
 "address": "xxx.xxx.xxx", //v2ray服务器域名
 "port": 443,
 "users": [
 {
 "id": "xxxxxxxxx-xxxx-xxxx-xxxxxxxx",//和服务器uuid一致
 "alterId": 64
 }
 ]
 }
 ]
 },
 "streamSettings": {
 "network": "ws",
 "security": "tls",
 "wsSettings": {
 "path": "/ray"
 }
 }
 }
 ]
}

8. 上网

启动客户端v2ray，上网设置为socks，地址127.0.0.1，端口1080

Wireguard的分流方法

Sat, 07 Sep 2019 15:45:22 +0800

Wireguard开启后，由于默认采用的全局路由，所有流量都通过Wireguard隧道，造成不必要的流量浪费，有必要进行流量分流。

分流的一种方法主要利用路由方式，让特定的IP包转发到Wireguard隧道中，可参见这篇：WireGuard —— Windows 客户端国内外IP分流教程。这种方式是将国内地址段以路由方式不走隧道，但需要不时维护国内地址段，同时一些常规状态下能访问的国外IP地址也走了隧道。

用Wireguard，主要就是要科学上网，不能直接访问的毕竟是少数，因此就有了另外一种方式，见这一篇：wireguard+ss/v2ray/brook等实现域名分流。方法是先利用Wireguard建立隧道，再开启Brook等服务，然后利用Wireguard的AllowIPs功能，限定Brook通过隧道建立连接，利用SwitchOmega等代理插件的PAC列表，实现域名分流。

在Win10和Linuxmint设置了一下，效果不错。手机上因为Wireguard可以设置某些App通过Wireguard，也就不用考虑了。