Поднимаем ipv6 прокси tunnelbroker на debian/ubuntu

<< Назад

Вступление

Сегодня будем поднимать ipv6 прокси на относительно слабом Vds за 111 руб. с kvm виртуализацией.

• Процессор: 1 ядро xeon E5-2650 2.30 Ghz
• Оперативная память: 512 Mb
• Диск: 5 Gb SSD
• Канал: 200Mb/s безлимитный трафик
• Тариф: 111 руб. / месяц

Будем исходить из расчёта что на такой конфигурации будет крутиться 500 - 1000 проксей. На самом деле можно и больше, но лично я предпочитаю стабильность.

Поднимать прокси мы будем на /48 подсети которую мы получим бесплатно у tunnelbroker.

Подготовка

Обновляемся

sudo apt update && sudo apt upgrade

Ставим стандартный набор

sudo apt-get install git mc make htop build-essential speedtest-cli curl wget ncdu tmux psmisc net-tools

Так как объем оперативной памяти небольшой, я рекомендую создать фаил подкачки. Либо увеличить его объем если он уже есть.

Получаем бесплатную /48 подсеть от tunnelbroker

Первым делом необходимо зарегистрироваться на сайте tunnelbroker. Именно этот ресурс выдаст нам полноценную бесплатную /64 и /48 подсеть ipv6.

Внимательно вписывайте ваши данные, лучше сохраните их сразу в надёжное место.

Сразу после регистрации не забудьте подтвердить почту, это избавит вас от проблем в будущем.

Переходим в пункт Create Regular Tunnel

Вписываем ipv4 адрес Vds в поле IPv4 Endpoint (Your side).

Также выбираем наиболее близкий к вашему хостингу дата центр. У меня это New York и нажимаем Create Tunnel.

Довольно редко случается так, что кто то уже поднимал туннель с такого ipv4 адреса. В таком случае tunnelbroker просит подтвердить что вы контролируете этот ip в данный момент. Для этого нас просят поднять простой http сервер на вашем ip и разместить там фаил.

Чтобы пройти такую проверку совсем не обязательно ставить веб сервер. Можно воспользоваться модулем python

python -m SimpleHTTPServer 80

После успешной валидации, отключаем наш простой веб сервер сочетанием клавиш CTRL + C

Спустя какое то время нас перебросит на страницу с данными для нашего только что созданного туннеля. Но на данный момент нам выдана лишь /64 подсеть.

Для того чтобы завладеть бесплатной /48 подсетью нажимаем на кнопку Assign /48

Внимание, с недавних пор сразу взять /48 подсеть нельзя, необходимо чтобы прошло 24 часа с момента регистрации и создания туннеля!

Теперь всё ок

Запишите сразу эти данные. У меня это

/64 подсеть: 2001:470:1f06:86::/64

/48 подсеть: 2001:470:8886::/48

Генерация ipv6 адресов

Первым делом создадим папку где будем хранить наши данные

sudo mkdir -p /app/proxy/ipv6-socks5-proxy

Меняем владельца папки с рута на нашего пользователя

sudo chown -R $USER:$USER /app/proxy/ipv6-socks5-proxy

Переходим в эту директорию

cd /app/proxy/ipv6-socks5-proxy

Теперь нужно сгенерировать наши ipv6 адреса. Воспользуемся софтиной Ip List Generator(копия на яндекс диске 32 bit + 64 bit).

Вставляем нашу подсетку в таком формате 2001:470:8886::/48

Выбираем сколько ip генерировать например 500 и генерим.

Сохраняем сгенерированные ipv6 адреса в фаил под названием ip.list

Теперь необходимо сгенерировать 2 фаила. Первый будет запускаться при поднятии интерфейса he-ipv6 и вместе с этим поднимать указанные нами ipv6 адреса на интерфейсе.

Для этого, сгенерированные на прошлом шаге ipv6 адреса из ip.list нужно привести к такому виду

ip -6 addr add 2001:470:8886:XXXX:XXXX:XXXX:XXXX:XXXX dev he-ipv6
ip -6 addr add 2001:470:8886:ZZZZ:ZZZZ:ZZZZ:ZZZZ:ZZZZ dev he-ipv6

Проще всего это сделать в программе sublime text.

В итоге должно получиться вот так

Полученный результат сохраним в фаил

nano /app/proxy/ipv6-socks5-proxy/ifaceup.sh

И дадим ему права на выполнение

chmod +x ifaceup.sh

Второй фаил будет наоборот удалять указанные нами ipv6 адреса при отключении интерфейса he-ipv6

Теперь для второго фаила приводим ip адреса к такому виду

ip -6 addr del 2001:470:8886:XXXX:XXXX:XXXX:XXXX:XXXX dev he-ipv6
ip -6 addr del 2001:470:8886:ZZZZ:ZZZZ:ZZZZ:ZZZZ:ZZZZ dev he-ipv6

На этот раз мы должны получить фаил с таким содержанием

Полученный результат сохраним в фаил

nano /app/proxy/ipv6-socks5-proxy/ifacedown.sh

И дадим ему права на выполнение

chmod +x ifacedown.sh

Добавляем ipv6 адреса на интерфейс

На сайте tunnelbroker идём в Example Configurations. В выпадающем списке выбираем Debian/Ubuntu. Получаем такую штуку

auto he-ipv6
iface he-ipv6 inet6 v4tunnel
        address 2001:470:1f06:86::2
        netmask 64
        endpoint 209.51.161.14
        local ip.адрес.vpsки.xxx
        ttl 255
        gateway 2001:470:1f06:86::1

По стандарту она рассчитана на 64 подсеть, но нам нужна 48. Поэтому поменяем содержимое строки address. Меняя ipv6 адрес для 64 подсети на ipv6 для 48 подсети. Также не забудьте поменять маску сети с 64 на 48

Сюда же добавляем информацию о том что мы хотим делать, когда интерфейс поднят и когда отключен

В итоге получаем

auto he-ipv6
iface he-ipv6 inet6 v4tunnel
        address 2001:470:8886::2
        netmask 48
        endpoint 209.51.161.14
        local ip.адрес.vpsки.xxx
        ttl 255
        gateway 2001:470:8886::1

up /app/proxy/ipv6-socks5-proxy/ifaceup.sh
down /app/proxy/ipv6-socks5-proxy/ifacedown.sh

Получившуюся болванку вставляем в фаил

sudo nano /etc/network/interfaces

В результате фаил должен выглядеть вот так

Перезагружаем наш сервер

sudo reboot

Проверить что всё ок можно командой

ip a

Но лучше это сделать с помощью обратного пинга на ipv6 адрес гугла

ping6 -I тут_какой_нибудь_наш_ipvp ipv6.google.com

Я возьму самый первый ipv6 адрес из списка и попробую сделать обратный пинг с ним

ping6 -I 2001:470:8886:2bd7:fb9b:3bd3:d77:7869 ipv6.google.com

Пинги должны идти !!! Если у вас не идут пинги - перепроверьте все шаги которые делали до этого. Если пинги идут то переходим к следующей части

Параметры ядра

Теперь нужно поменять кое какие параметры ядра, иначе ничего не получится.

Редактируем sysctl.conf

sudo nano /etc/sysctl.conf

в самый низ добавляем

fs.file-max = 500000

Редактируем limits.conf

sudo nano /etc/security/limits.conf

в самый низ добавляем

* hard nofile 500000
* soft nofile 500000
root hard nofile 500000
root soft nofile 500000
* soft nproc 4000
* hard nproc 16000
root - memlock unlimited
net.ipv4.tcp_fin_timeout = 10
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4,tcp_synack_retries = 3
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 3

Редактируем system.conf

sudo nano /etc/systemd/system.conf

в самый низ добавляем

DefaultLimitDATA=infinity
DefaultLimitSTACK=infinity
DefaultLimitCORE=infinity
DefaultLimitRSS=infinity
DefaultLimitNOFILE=102400
DefaultLimitAS=infinity
DefaultLimitNPROC=10240
DefaultLimitMEMLOCK=infinity

Редактируем user.conf

sudo nano /etc/systemd/user.conf

в самый низ добавляем

DefaultLimitDATA=infinity
DefaultLimitSTACK=infinity
DefaultLimitCORE=infinity
DefaultLimitRSS=infinity
DefaultLimitNOFILE=102400
DefaultLimitAS=infinity
DefaultLimitNPROC=10240
DefaultLimitMEMLOCK=infinity

Так же можно добавить ipv6 dns в resolv.conf

sudo nano /etc/resolv.conf

в самый низ добавляем

nameserver [2606:4700:4700::1111]
nameserver [2606:4700:4700::1001]
nameserver [2001:4860:4860::8888]
nameserver [2001:4860:4860::8844]
nameserver [2a02:6b8::feed:0ff]
nameserver [2a02:6b8:0:1::feed:0ff]

Обязательно перезагружаемся

sudo reboot

Устанавливаем 3proxy

Переходим созданную ранее директорию

cd /app/proxy/ipv6-socks5-proxy

Скачиваем 3proxy

git clone https://github.com/z3APA3A/3proxy.git

В процессе автоматически будет создана папка 3proxy, переходим в неё

cd 3proxy

Линкуем Makefile для нашей ос

ln -s Makefile.Linux Makefile

Создаём дополнительный фаил

touch src/define.txt

Записываем в него необходимую информацию

echo "#define ANONYMOUS 1" > src/define.txt

Добавляем информацию из фаила src/define.txt в фаил src/proxy.h

sed -i '31r src/define.txt' src/proxy.h

Запускаем процесс компиляции

make

Финализируем установку

sudo make install

Теперь мы можем останавливать наш 3proxy

systemctl stop 3proxy.service

Стартовать 3proxy

systemctl start 3proxy.service

И смотреть статус 3proxy

systemctl status 3proxy.service

Настройка 3proxy

Переходим созданную ранее директорию

cd /app/proxy/ipv6-socks5-proxy

Создаём скрипт genproxy48.sh

nano genproxy48.sh

Заполняем этот скрипт одним из рецептов на выбор. В зависимости от того какие прокси вы хотите получить. Выберите свой рецепт вставьте его содержимое в скрипт genproxy48.sh

• http с логином и паролем
• http без логина и пароля
• socks5 с логином и паролем
• socks5 без логина и пароля

Даём скрипту необходимые права на выполнение

chmod +x genproxy48.sh

Запускаем скрипт

./genproxy48.sh

В результате будет создан конфигурационный фаил /etc/3proxy/3proxy.cfg который 3proxy будет использовать по умолчанию.

А ещё будут созданы дополнительные фаилы proxylist_key_collector.txt и xevil.txt с готовым списком наших проксей.

Правила Iptables

Чтобы обезопасить себя будем разрешать доступ к проксям только с определённых ip. Так же я советую сделать политику по умолчанию DROP.

А теперь сами правила

Разрешаем доступ к прокси с 20000 по 20499 порт по протоколу TCP для определённого ip

sudo iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx/32 -m multiport -p tcp --dports 20000:20499 -j ACCEPT

на всякий случай тоже самое, но уже для протокола UDP

sudo iptables -A INPUT -i eth0 -s xxx.xxx.xxx.xxx/32 -m multiport -p udp --dports 20000:20499 -j ACCEPT

Позаботьтесь о том чтобы эти правила переживали перезагрузку, подробнее про это можно прочитать тут в разделе Сохранение и загрузка правил iptables.

Перезагрузка 3proxy по расписанию

Это не обязательный пункт, его можно пропустить. Никто не застрахован от внезапного фриза службы 3proxy помните, чем больше проксей вы поднимаете, тем больше вероятность того что что то может пойти не так.

Целесообразно перезагружать службу 3proxy в принудительном режиме.

Переходим в папку

cd /app/proxy/ipv6-socks5-proxy

Создадим скрипт который будет перезагружать 3proxy

nano restart3proxy.sh

В него вписываем

#!/bin/bash

killall -9 3proxy || echo "3proxy was not running."
sleep 5
systemctl start 3proxy.service

Сделаем скрипт исполняемым

chmod +x restart3proxy.sh

Теперь добавим скрипт в расписание планировщика cron

crontab -e

С таким содержанием. Будем выполнять каждые 30 минут

# restart 3proxy
*/30 * * * * /app/proxy/ipv6-socks5-proxy/restart3proxy.sh

Перезагрузка сервера по расписанию

Аналогично не обязательный пункт, его можно пропустить. Если у нас на сервере помимо проксей нету ничего критически важного, то для спокойствия мы можем так же перезагружать сервер. Причём делать это глубокой ночью, скажем каждый дено в в 4:20 утра.

Переходим в папку

cd /app/proxy/ipv6-socks5-proxy

Создаём скрипт

nano restartserver.sh

С таким содержанием

#!/bin/bash

/sbin/shutdown -r now

Делаем скрипт исполняемым

chmod +x restartserver.sh

Добавляем скрипт в крон

crontab -e

Вписываем

# restart server
20 4 * * * /app/proxy/ipv6-socks5-proxy/restartserver.sh

В итоге должно получиться вот так

Результат

У яши судя по всему не обновилась база GeoIp т.к. сервак на самом деле в USA, а yandex почему думает что мы из Москвы. На скриншоте видно что протокол ipv4 не используется.

Тест на ipv6-test

А вот google наоборот думает что мы из USA

И напоследок скрин расходуемых ресурсов на старте. При этом сами прокси не используются. Когда начнём использовать - будет больше грузить имейте это в виду.

Всё получилось. mission complete

Альтернативы tunnelbroker

На самом деле бесплатно /48 подсеть ipv6 выдаёт не только tunnelbroker. Вот небольшой список альтернатив:

Бесплатно RU 48 подсеть ip4market

Бесплатно UA 48 подсеть netassist