Transparent Proxy Port für JonDo

tranSOCKS_ev verwenden

tranSOCKS_ev wird unter tiggersWelt.net entwickelt. Das Source Code Archiv steht auch auf unserem Server zum Download bereit: transocks_ev.tar.bz2 (OpenPGP signature).

Um tranSOCKS_ev zu kompilieren wird libevent mit den Entwicklerdateien benötigt. Sie können die Bibliothek mit dem Paketmanager Ihrer Distribution installieren:
> sudo aptitude install libevent-dev
Nach dem Entpacken des Archives ist tranSOCKS_ev zu compilieren und zu installieren mit:
> make && sudo make install
Wir empfehlen, einen neuen User für transocks_ev anzulegen:
> sudo adduser --system --disabled-password --group transocks_daemon

Dann kann man tranSOCKS_ev starten:

> sudo -u transocks_daemon transocks_ev -H 127.0.0.1 -p 4008 -S 127.0.0.1 -s 4001

Parameter	Beschreibung
-H IP	die lokale IP-Address, an welcher tranSOCKS_ev lauscht
-p port	der Port, an welchem tranSOCKS_ev auf eingehende Verbindungen wartet
-s port	der Port des SOCKS5-Servers (JonDo Port)
-S IP	IP-Address des SOCKS5-Servers (IP von JonDo)
-f	verhindert, das der Daemon im Hintergrund verschwindet (zum Debuggen)

Das Archive enthält im Verzeichnis init.d ein Sys-V-Init-Script für Debian GNU/Linux und abgeleite Distributionen. Um tranSOCKS_ev beim Booten zu starten kopieren Sie das Script nach /etc/init.d und fügen es in die Bootsequenz ein:
> sudo cp init.d/transocks.debian /etc/init.d/transocks > sudo insserv transocks
Die Parameter für die Adressen von tranSOCKS_ev und JonDo können Sie im Script anpassen.

HTTPSDNS Daemon verwenden

HTTPSDNS Daemon ist ein kleiner DNS-Server, der eingehende Anfragen via HTTPS weiterleitet. Er nutzt JonDo für die Anonymisierung des Datenverkehr. Das Archive steht auf unserem Server zum Download bereit: httpsdnsd.tar.bz2 (OpenPGP signature).

Der Daemon ist in Perl geschrieben. Es werden folgende zusätzlich folgende Perl Module benötigt:
Log::Log4perl, Net::Server::Daemonize, Net::SSLeay, XML::Simple, Net::DNS, Net::DNS::Nameserver
Sie können die Module direkt aus dem CPAN installieren:
> sudo perl -MCPAN -e shell ... cpan> install Log::Log4perl Net::Server::Daemonize ....
Alternative ist es möglich, den Paketmanager der Distribution für die Installation zu nutzen:
> supo aptitude install libnet-ssleay-perl libnet-server-perl libnet-dns-perl libxml-simple-perl liblog-log4perl-perl
Um den HTTPSDNS Daemon zu installieren, ist das Archive zu entpacken und das Install-cript auszuführen:
> sudo install.sh
Wir empfehlen, einen neuen User für den HTTPSDNS Daemon anzulegen:
> sudo adduser --system --disabled-password --group httpsdns_daemon
Dann können Sie den Daemon starten:
> sudo httpsdnsd --runasdaemon

Mit zusätzlichen Start-Parametern können Sie das Verhalten des Daemon beeinflussen. Eine vollständige Übersicht bietet die Manual Page von httpsdnsd.

Parameter	Beschreibung	Default Wert
--host	die lokale IP-Address, an welcher httpsdnsd lauscht	127.0.0.1
--port	der Port, an welchem ttpsdnsd auf eingehende Verbindungen wartet	4053
--https_proxy_port	der Port des HTTPS Proxy (JonDo Listen Port).	4001
--https_proxy_host	IP-Adresse des HTTPS Proxy (IP von JonDo).	127.0.0.1
--runasdaemon	Daemonize httpsdnsd (in Hintergrund schicken)
--daemon-user	UID mit der httpsdns laufen soll	httpsdns_daemon
--daemon-group	GID mit der httpsdnsd laufen soll	httpsdns_daemon

Das Archive enthält im Verzeichnis init.d ein Sys-V-Init-Script für Debian GNU/Linux und abgeleite Distributionen. Um HTTPSDNS Daemon beim Booten zu starten kopieren Sie das Script nach /etc/init.d und fügen es in die Bootsequenz ein:
> sudo cp init.d/httpsdnsd.debian /etc/init.d/httpsdnsd > sudo insserv httpsdnsd
Die Parameter für die IP-Adressen und Ports können Sie im Script anpassen.

Firewall Regeln erstellen

Wenn der Transparent Proxy und der HTTPSDNS Daemon laufen, kann man mit iptables den Traffic eines Users an den Port des Transparent Proxy schicken (im Beispiel Port 4008) und den DNS-Traffic an den HTTPSDNS Daemon (im Beispiel Port 4053). Das folgende Beispiel anonymisiert den Traffic des Users anonuser.

iptables -t nat -A OUTPUT -p udp -m owner --uid-owner anonuser -m udp --dport 53 -j REDIRECT --to-ports 4053 iptables -t nat -A OUTPUT -p tcp -m owner --uid-owner anonuser -m tcp --dport 53 -j REDIRECT --to-ports 4053 iptables -t nat -A OUTPUT ! -o lo -p tcp -m owner --uid-owner anonuser -m tcp -j REDIRECT --to-ports 4008 iptables -t filter -A OUTPUT -p udp -m owner --uid-owner anonuser -m udp --dport 4053 -j ACCEPT iptables -t filter -A OUTPUT -p tcp -m owner --uid-owner anonuser -m tcp --dport 4053 -j ACCEPT iptables -t filter -A OUTPUT -p tcp -m owner --uid-owner anonuser -m tcp --dport 4008 -j ACCEPT iptables -t filter -A OUTPUT ! -o lo -m owner --uid-owner anonuser -j REJECT

Hinweis: JonDo bsw. JonDoDaemon dürfen dabei nicht unter UID anonuser laufen.