Re: Туннелирование DNS
Артём Н. wrote:
> Эх, видимо, обсуждение теперь будет в этой ветке...
>
> 01.03.2013 00:38, Ivan Zavarzin пишет:
>> Hleb Valoshka:
>>> On 2/27/13, "Артём Н." <artiom14@yandex.ru> wrote:
>>>
>>>> 1. Если установлен какой-либо плагин браузера, например, TorButton, DNS
>>>> запрос всё-равно производится напрямую и открытым текстом?
>>> нет
>>>
>> По-идее нет. Но для большей гарантии, лучше произвести прозрачную
>> торификацию посредством фаервола, если речь идет о сети Tor. На сайте
>> торпроджекта это подробно описано.
>> Тогда, правда, TBB надо "отвязать" от локальных тора, видалии и т.п.
>> (В tor-browser*/start-tor-browser для этого ./App/vidalia --datadir
>> Data/Vidalia/ -style Cleanlooks заменить на ./App/Firefox/firefox
>> -profile ./Data/profile -style).
> Я не имею ввиду именно Tor. Я привёл его просто, как пример "защищённого
> соединения".
> В этом плане больше меня интересуют SOCKS и прочее.
> Вопрос 1 был в том, как firefox (поскольку я им пользуюсь) производит резолвинг:
> 1. Используя системные вызовы (gethostbyname и подобное)?
> 2. При использовании прокси, через прокси? Если да, то как: у него есть
> встроенный резолвер?
> 3. При использовании сторонних расширений анонимизации, _например_ TorButton,
> резолвинг обеспечивается расширением?
Есть несколько видов прокси. При использовании http прокси - ресолвинг идёт на
стороне прокси. При использовании socks4 - ресолвинг идёт на стороне браузера,
(и для tor это, очевидно, не подходит); socks4a (и socks5?) - ресолвинг идёт в
прокси (см. network.proxy.socks_remote_dns). TBB/TorButton пользуется именно
этим вариантом.
Также tor умеет отвечать на dns запросы, и можно его настроить в качестве
nameserver (man torrc на предмет DNSPort).
Альтернативный вариант - см.
https://trac.torproject.org/projects/tor/wiki/doc/TransparentProxy
> Вопрос 2 был в том, как организовать туннелирование DNS запроса?
Если строгой анонимизации не нужно и нужно только пробросить dns с доверенного
сервера через небезопасную сеть, то dnscrypt-proxy и dnscrypt-wrapper подойдут,
наверно, больше.
> Например, я имею локально запущенный DNS сервер или нечто подобное (dnsmasq),
> который прописан в resolv.conf.
> Я могу запустить его через stunnel.
М... stunnel - это ведь tcp? А для dns нужен udp.
> Но куда прикрутить "второй конец" stunnel? Есть ли какие-то гейты, которые
> позволяют туннелировать через них любой протокол (этакий SOCKS только ещё и с SSL)?
> Есть ли DNS с поддержкой SSL?
См. выше про dnscrypt-proxy.
>> Но для большей гарантии, лучше произвести прозрачную
>> торификацию посредством фаервола, если речь идет о сети Tor.
> Честно говоря, я не очень хорошо знаком с Tor.
> Возможно через него туннелировать любой протокол?
> Нет такого, что там есть гейты лишь на распространённые протоколы (к примеру, HTTP)?
Reply to: