TProxy實現透明代理
上一篇介紹的透明代理,使用的是REDIRECT(TCP)+TProxy(UDP)的方式,此篇要介紹完全使用TProxy透明代理的方式,注意shadowsocks是不支持TCP使用TProxy的.
1. 加载TPROXY模块
临时加载TPROXY模块:
sudo modprobe xt_TPROXY
编辑/etc/modules-load.d/TPROXY.conf 使自动加载TPROXY模块：
xt_TPROXY
2. V2Ray設置
{
"inbounds": [
{
"tag":"transparent",
"port": 12345,
"protocol": "dokodemo-door",
"settings": {
"network": "tcp,udp",
"followRedirect": true
},
"sniffing": {
"enabled": true,
"destOverride": [
"http",
"tls"
]
},
"streamSettings": {
"sockopt": {
"tproxy": "tproxy" // 透明代理使用TProxy方式
}
}
}
],
"outbounds": [
{
"tag": "proxy",
"protocol": "vmess", // 代理伺服器
"settings": {
"vnext": [
...
]
},
"streamSettings": {
"sockopt": {
"mark": 2 //這邊建議不要設置為255.
}
},
"mux": {
"enabled": true
}
}
]
}
3. 設置ipset
添加保留地址
ipset -N reservedip nethash
ipset add reservedip 224.0.0.0/4
ipset add reservedip 100.64.0.0/10
ipset add reservedip 203.0.113.0/24
ipset add reservedip 192.18.0.0/15
ipset add reservedip 192.88.99.0/24
ipset add reservedip 172.16.0.0/12
ipset add reservedip 0.0.0.0/8
ipset add reservedip 127.0.0.0/8
ipset add reservedip 192.0.2.0/24
ipset add reservedip 192.51.100.0/24
ipset add reservedip 10.0.0.0/8
ipset add reservedip 192.168.0.0/16
ipset add reservedip 255.255.255.255
ipset add reservedip 192.0.0.0/24
ipset add reservedip 240.0.0.0/4
ipset add reservedip 169.254.0.0/16
添加自己伺服器的地址(鏈式代理需要,如果不需要可以不用添加)
ipset -N myip nethash
ipset add myip 2.2.2.2
添加不需要代理的地址(如代理伺服器的地址),1.1.1.1只是例子)
ipset -N noproxy nethash
ipset add noproxy 1.1.1.1 #(1.1.1.1只是例子)
4. iptables設置
ip rule add fwmark 0x01/0x01 table 100
ip route add local 0.0.0.0/0 dev lo table 100
iptables -t mangle -N V2RAY
iptables -t mangle -A V2RAY -p udp -m set --match-set myip dst -j TPROXY --on-port 12346 --tproxy-mark 0x01/0x01 --on-ip 0.0.0.0
iptables -t mangle -A V2RAY -p tcp -m set --match-set myip dst -j TPROXY --on-port 12346 --tproxy-mark 0x01/0x01 --on-ip 0.0.0.0
iptables -t mangle -A V2RAY -j RETURN -m mark --mark 2
iptables -t mangle -A V2RAY -m set --match-set reservedip dst -j RETURN
iptables -t mangle -A V2RAY -m set --match-set noproxy dst -j RETURN
iptables -t mangle -A V2RAY -p udp -j TPROXY --on-port 12345 --tproxy-mark 0x01/0x01 --on-ip 0.0.0.0
iptables -t mangle -A V2RAY -p tcp -j TPROXY --on-port 12345 --tproxy-mark 0x01/0x01 --on-ip 0.0.0.0
iptables -t mangle -N V2RAY_MARK
iptables -t mangle -A V2RAY_MARK -m set --match-set reservedip dst -j RETURN
iptables -t mangle -A V2RAY_MARK -m set --match-set noproxy dst -j RETURN
iptables -t mangle -A V2RAY_MARK -m mark --mark 2 -j RETURN
iptables -t mangle -A V2RAY_MARK -p udp -j MARK --set-mark 1
iptables -t mangle -A V2RAY_MARK -p tcp -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -j V2RAY
iptables -t mangle -A OUTPUT -j V2RAY_MARK
5. 開啓NAT
對於路由器需要開啓NAT,如果不是路由器請略過此條
其中internet0為鏈接到互聯網的網卡,net0為連接到局域網網卡.
iptables -t nat -A POSTROUTING -o internet0 -j MASQUERADE
iptables -A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i net0 -o internet0 -j ACCEPT
6. 保持配置
ipset save > /etc/ipset.conf
iptables-save > /etc/iptables/iptables.rules
7.設置開機啓動
編輯/etc/systemd/system/tproxy.service文件,内容如下
[Unit]
Description=Transparent proxy
Before=network-pre.target
Wants=network-pre.target
[Service]
Type=oneshot
ExecStart=/usr/bin/ip rule add fwmark 0x01/0x01 table 100 ; /usr/bin/ip route add local 0.0.0.0/0 dev lo table 100 ; /usr/bin/ipset -f /etc/ipset.conf restore ; /usr/bin/iptables-restore /etc/iptables/iptables.rules
ExecReload=/usr/bin/ipset -f /etc/ipset.conf restore ; /usr/bin/iptables-restore /etc/iptables/iptables.rules
ExecStop=/usr/bin/ip rule del table 100 ; /usr/bin/ip route del local 0.0.0.0/0 dev lo table 100 ; /usr/bin/ipset -f /etc/ipset.conf restore ; /usr/lib/systemd/scripts/iptables-flush
RemainAfterExit=yes
[Install]
WantedBy=multi-user.target
編輯/usr/lib/systemd/scripts/iptables-flush文件,内容如下
#/bin/bash
iptables=ip$1tables
if ! type -p "$iptables" &>/dev/null; then
echo "error: invalid argument"
exit 1
fi
while read -r table; do
tables+=("/usr/share/iptables/empty-$table.rules")
done <"/proc/net/ip$1_tables_names"
if (( ${#tables[*]} )); then
cat "${tables[@]}" | "$iptables-restore"
fi
啓用規則
systemctl enable tproxy
参见
- ArchWiki iptables
- ArchWiki Internet sharing
- Project V Official
Comments