lumag Sep 16 2014 at 20:15

Tor Hidden Service как техника Nat Traversal

2 min

41K

Information Security*

+12

Comments 38

shifttstas Sep 16 2014 at 21:08

В CJDNS тоже так же можно делать, только пока в UNIX только

-1

GamePad64 Sep 17 2014 at 21:54

Симметричный NAT Traversal в cjdns не получится. Это же F2F-сеть, при подключении к cjdns требуется ip (или mac) другого узла. За NAT такой возможности не будет.

J_o_k_e_R Sep 16 2014 at 21:32

Месье знает толк в нестандартных способах удаления гланд. Простая сетка на. openvpn, раз уж есть. vds

J_o_k_e_R Sep 16 2014 at 21:33

будет проще и надежнее.
(Извините промазал по кнопке с планшета)

lumag Sep 16 2014 at 21:48

OpenVPN — это хорошая идея. Наверное, если бы задача выходила за пределы ssh, я бы последовал этому совету. Но OpenVPN — это еще одно место конфигурации. К нему надо как-то прикручивать DNS или убеждаться, что mDNS работает нормально.

J_o_k_e_R Sep 17 2014 at 00:25

DNS совершенно НЕ необходим. Для SSH Вы можете создать записи в .ssh/config, Вы можете ходить по IP, Вы можете прописать записи в hosts, если уж совсем необходимы символьное обращение к хостам.

Xitsa Nov 21 2015 at 10:19

Это только если IP статический.
А так у Tor Hidden Services есть следующие преимущества над VPN:
1. Бесплатный постоянный onion-адрес в условиях динамического IP/NAT.
2. Тонкий контроль над доступом к вынесенным во внешнюю сеть ресурсом: наружу попадают только те сервисы, которые указаны в настройках.

erlyvideo Sep 17 2014 at 07:55

вопрос с openvpn: а насколько будет удобно менеджить openvpn сервер на 20 тыс устройств?

J_o_k_e_R Sep 17 2014 at 12:19

Не знаю, не пробовал в таких масштабах. Но не вижу проблем экстраполировать мой опыт openvpn на несколько сотен клиентов на 20 тысяч. И какие именно задачи Вы подразумеваете под «менеджить»?

Если что логическую сущность «openvpn-сервер» можно вполне разбить на несколько физических. Точнее в Ваших масштабах — нужно.

UFO just landed and posted this here

hungry_ewok Sep 17 2014 at 01:44

А что, все провайдеры уже его поддержали?

lumag Sep 17 2014 at 01:47

SixXS + Aiccu

andrewsh Sep 17 2014 at 02:01

Не советуйте бяку. Hurricane Electric, gogoIPv6 и прочие тередо.

Evengard Sep 17 2014 at 10:06

почему это бяка? оО

andrewsh Sep 17 2014 at 11:18

Майнтейнеры редиски, которые абсолютно неуважительно относятся к пользователям.

J_o_k_e_R Sep 17 2014 at 12:30

Зато шикарные пинги по сравнению с альтернативами.

А из минусов еще добавлю замороченная регистрация и требования о реалистичных данных пользователя.

andrewsh Sep 17 2014 at 12:57

Пинги у меня замечательные и на хенете. А сиксу я предоставлял реальные данные, но регистрацию заворачивали, называя меня абьюзером. Ну и хрен с ними. Сикс сакс.

-1

J_o_k_e_R Sep 17 2014 at 14:23

Нормальные пинги — это какие? У меня до шлюза в sixxs — порядка 9.6 ms. Ни один шлюз в he мне такого дать не смог. Я в Москве.

Чуть хуже, чем SixXS пинги мне давал NetAssist (при самой незамороченной регистрации), но последнее время стал слишком нестабилен. Пришлось раскидать линки на SixXS и HE.

А что в данном контексте значит абьюзер?

andrewsh Sep 17 2014 at 15:08

У меня пинги порядка миллисекунды. Но это не Москва, да.

Насчёт проблем с регистрацией, подробности тут: blog.shadura.me/2011/12/13/sixxs-suxxs/

-1

J_o_k_e_R Sep 17 2014 at 15:18

Пинги порядка миллисекунды до шлюза IPv6-брокера? Простите, я Вам не верю. Это порядок пингов при нативном подключении до шлюза Вашего провайдера.

Насчёт проблем с регистрацией, подробности тут: blog.shadura.me/2011/12/13/sixxs-suxxs/

Прочитал. Я не понимаю, откуда у Вас вылезла эта проблема и что Вы указали в данных, но я специально написал, что необходимо вводить реалистичные (но не обязательно реальные) данные. То есть я ввел данные из головы, но приблизительно корректные, проверил, что адрес такой реально существует. И все прокатило.

Возможно в Вашей стране у них есть возможность проверять данные, так Вам черным по белому написали, судя по Вашей ссылке, что Вы не указали ZIP-код.

В общем это Ваша эпизодическая проблема.

andrewsh Sep 17 2014 at 16:59

Простите, но это именно так.

Насчёт «эпизодичности» — это было бы так, если бы это было эпизодически. Проблемы подобного рода происходят постоянно с разными людьми. Точно так же как внезапно блокируют аккаунты на основе мониторинга сетевой активности. У сиксовцев в голове живут серьёзные забабоны, это точно.

З.Ы. Кстати, адрес без почтового индекса является совершенно валидным. Более того, они пишут, что не могли проверить комбинацию адрес + имя. А проверить её и не получится, если они не полиция, особенно если речь идёт о жилье, предоставленном работодателем (на тот момент у меня было именно так).

andrewsh Sep 17 2014 at 15:09

Кроме того, ограничения на протоколы, которые я могу использовать — это идиотизм. А у хенета всё просто работает.

J_o_k_e_R Sep 17 2014 at 15:18

Что за ограничения?

UFO just landed and posted this here

hungry_ewok Sep 17 2014 at 13:46

А вот ссылочку бы на эти способы. Бо те что встречал пока что, скажем так, не особо вдохновляли…

-1

J_o_k_e_R Sep 17 2014 at 14:24

Туннельные брокеры или VPN через свой сервер с нативным IPv6.

UFO just landed and posted this here

YourChief Sep 17 2014 at 10:59

Совет про ipv6 верный, но стоит использовать Teredo. Поддержка этой переходной технологии есть в современной винде из коробки, в линуксе достаточно набрать что-то вроде sudo apt-get install miredo и, вуаля!, у вас появился глобально маршрутизируемый ipv6 адрес

J_o_k_e_R Sep 17 2014 at 12:32

Есть способы так же надежно как VPN пробивать NAT? Да, Aiccu это умеет, но мне не показалось это очень стабильным.

Askon Sep 17 2014 at 00:48

«Когда конфигурация перестала помещаться в голове, пришла идея сократить количество сущностей, используя Tor Hidden Service.»
Насколько имена tor хостов вида xxxxxxxxxxxxxxxx.onion стало легче в голове умещать? )

lumag Sep 17 2014 at 00:51

Они попали в .ssh/config

J_o_k_e_R Sep 17 2014 at 12:34

Тогда тем более не понимаю смысла не использовать VPN.

lumag Sep 17 2014 at 18:12

Основная причина, почему я не стал поднимать OpenVPN: VPN — это еще один инфраструктурный элемент. Который надо поддерживать, настраивать, следить и т. п. Tor, в этом плане, гораздо проще. Плюс, он не требует стабильной работы VDS.