Прокси для Transparent Proxy / iptables

### **Прозрачный прокси (Transparent Proxy) с помощью iptables**

В большинстве случаев, когда мы говорим о прокси, мы подразумеваем «обычный» или «непрозрачный» прокси. Он требует явной настройки в каждом приложении. Но существует и другой, гораздо более мощный подход — прозрачный прокси (Transparent Proxy).

Эта технология перехватывает и перенаправляет сетевой трафик незаметно для конечного пользователя и его приложений. Программы на компьютере пользователя даже не подозревают, что их трафик проходит через прокси.

**Аналогия:**
Обычный прокси — это как отправить посылку через курьерскую службу, которую вы сами выбрали и вызвали.

Прозрачный прокси — это как если бы всё почтовое отделение по умолчанию заворачивало все ваши посылки и отправляло их по специальному маршруту, не ставя вас в известность.

Механизм, который делает это возможным в мире Linux, называется iptables. В этом гайде мы разберёмся, как это работает, для чего это нужно, и как настроить такую систему на практике.

⛔️ **Важное предупреждение перед началом**
Этот гайд предназначен для продвинутых пользователей. Вы будете работать с iptables и получите полный root-доступ к системе. Неправильная команда может полностью заблокировать ваш доступ к сети (включая SSH).

- **Тестируйте в VM**: Всегда тестируйте подобные настройки сначала в виртуальной машине.
- **Имейте план "Б"**: Убедитесь, что у вас есть консольный доступ к серверу (не SSH) на случай, если вы заблокируете себе сеть.
- **Доверенный провайдер**: Вы доверяете весь свой трафик прокси-серверу. Убедитесь, что используете надежного и проверенного провайдера. Не проксируйте sensitive трафик (банкинг) без end-to-end шифрования.
- **Совместимость**: Для новых дистрибутивов (Ubuntu 22+, Fedora) проверьте `iptables --version` — если nft, переключитесь: `sudo update-alternatives --set iptables /usr/sbin/iptables-legacy`. В контейнерах (Docker) redsocks требует cap_net_admin; используйте --privileged.

#### **Часть 1. Зачем нужен прозрачный прокси?**

Прозрачное проксирование — это тотальный контроль над трафиком на уровне сети.

- **Корпоративные сети и Wi-Fi**: Для фильтрации контента, кэширования данных и централизованного анализа безопасности.
- **Управление устройствами (IoT)**: Вы можете проксировать трафик с устройств, где нельзя настроить прокси вручную (Smart TV, игровые консоли, IoT-гаджеты).
- **Обход цензуры для всей сети**: Вместо настройки VPN на каждом устройстве, можно один раз настроить роутер, который будет весь трафик направлять через прокси.

#### **Часть 2. Механизм работы: iptables**

iptables — это инструмент для управления сетевыми пакетами в ядре Linux (Netfilter). Мы будем использовать таблицу nat (Network Address Translation).

Ключевой момент — это правильный выбор цепочки для перехвата:

- **Цепочка PREROUTING**: Перехватывает трафик, который проходит СКВОЗЬ ваш сервер (транзитный трафик). Это ваш выбор, если вы настраиваете шлюз или роутер для других устройств в сети.
- **Цепочка OUTPUT**: Перехватывает трафик, который генерирует САМ СЕРВЕР (например, curl, apt-get или скрипты, запущенные локально).

#### **Часть 3. Практическая реализация с redsocks**

Простой REDIRECT не умеет работать с удалёнными SOCKS5-прокси, требующими аутентификации. Нам понадобится redsocks.

redsocks — это демон, который принимает перенаправленный iptables трафик, а затем сам устанавливает соединение с вашим удалённым прокси.

**Примечание**: Оригинальный redsocks довольно старый (последние обновления ~2018). Рекомендуем использовать форк redsocks2 (REDSOCKS2), который имеет фиксы, новые фичи (авто-редирект без блэклиста, shadowsocks support, IPv6) и актуален в 2025. Если в вашем дистрибутиве есть пакет redsocks2 — используйте его.
Иначе:
`git clone https://github.com/semigodking/redsocks && cd redsocks && make && sudo make install`
(или аналогичный форк https://github.com/Intika-Linux-Proxy/Red-Socks-2).

##### **Шаг 1. Сбор учётных данных прокси**

Первый и самый важный шаг — убедиться, что у Вас есть полный набор данных для авторизации. Эти «ключи» позволят Вашему приложению или браузеру подключиться к прокси-серверу и направить трафик через него.

Обязательно подготовьте следующие данные:

* **IP-адрес** (хост-сервер)
* **Порт** для подключения
* **Логин** и **пароль** для авторизации
* **Тип протокола** (HTTP/HTTPS или SOCKS5)

![](/media/mdeditor/proxies_info_ru_20251007053423133391.png)
*Рис. 1. На этом скриншоте показано, где в личном кабинете **CyberYozh App** находятся все необходимые поля для подключения к прокси-серверу.*

##### **Шаг 2. Установка redsocks**

```bash
sudo apt update
sudo apt install redsocks  # Для оригинала; для redsocks2 — см. выше
```

##### **Шаг 3. Настройка redsocks (TCP + DNS)**

Откройте файл конфигурации `sudo nano /etc/redsocks.conf`. Приведите его к следующему виду, подставив данные вашего прокси. Мы настроим redsocks для TCP-трафика, redudp для UDP/DNS и dnstc для TCP-DNS (чтобы захватывать редкие TCP-запросы).

```bash
base {
    log_debug = off;
    log_info = on;
    log = "file:/var/log/redsocks.log"; // Путь к логам для отладки
    daemon = on;
    user = redsocks;
    group = redsocks;
    redirector = iptables;
}

// Секция для TCP-трафика (HTTP, HTTPS и т.д.)
redsocks {
    local_ip = 0.0.0.0;
    local_port = 12345; // Порт, который будет слушать redsocks для TCP

ip = 51.77.190.247;        // IP-адрес вашего удалённого SOCKS5-прокси
    port = 9595;         // Порт вашего удалённого SOCKS5-прокси
    type = socks5;       // Используем SOCKS5 (можно http-connect для HTTP-прокси или http-relay для чистого HTTP)

// Секция для DNS-трафика (UDP)
redudp {
    local_ip = 0.0.0.0;
    local_port = 10053; // Порт, который будет слушать redsocks для DNS
    
    ip = 51.77.190.247;        // Тот же IP SOCKS5-прокси
    port = 9595;         // Тот же порт SOCKS5-прокси
    type = socks5;

// Секция для TCP-DNS (чтобы захватывать редкие TCP-запросы)
dnstc {
    local_ip = 127.0.0.1;
    local_port = 5300;
}
```

##### **Шаг 4. Настройка iptables (Самый важный шаг)**

Эти правила — ядро нашей системы. Они предотвратят утечки и бесконечные циклы.

**Важно:** iptables не имеет встроенного "режима редактирования" как текстовый редактор. Правила хранятся в памяти ядра и управляются через команды. Для просмотра, удаления, вставки или замены используйте команды iptables. Для сложных правок выгрузите правила в файл, отредактируйте его и загрузите обратно. Это особенно удобно с iptables-persistent, где правила сохраняются в /etc/iptables/rules.v4.

##### Шаг 1. Просмотр текущих правил

Сначала посмотрите существующие правила, чтобы понять, что редактировать.

```bash
# Просмотр всех правил в таблице nat с номерами строк
sudo iptables -t nat -L -n -v --line-numbers
```

- `-t nat`: Таблица nat (для наших REDIRECT).
- `-L`: Список правил.
- `-n`: Числовые IP (без DNS).
- `-v`: Подробно (счётчики пакетов).
- `--line-numbers`: Номера правил (для удаления/вставки).

Пример вывода:
```
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1        0     0 REDSOCKS   all  --  *      *       0.0.0.0/0            0.0.0.0/0           
```

##### Шаг 2. Простое редактирование: Удаление, вставка и замена

Для мелких изменений:
- **Удалить правило по номеру**: Укажите цепочку и номер.
  ```bash
  # Удалить правило №1 в PREROUTING
  sudo iptables -t nat -D PREROUTING 1
  ```
- **Вставить новое правило на позицию**: Используйте -I (insert).
  ```bash
  # Вставить на позицию 1 в PREROUTING (например, с дополнительными портами)
  sudo iptables -t nat -I PREROUTING 1 -p tcp -m multiport --dports 80,443,8080 -j REDSOCKS
  ```
- **Заменить правило**: Используйте -R (replace).
  ```bash
  # Заменить правило №1 в PREROUTING
  sudo iptables -t nat -R PREROUTING 1 -p tcp -m multiport --dports 80,443 -j REDSOCKS
  ```

##### Шаг 3. Редактирование через файл (для сложных изменений)

Выгрузите правила в текстовый файл, отредактируйте и загрузите.
- **Выгрузить правила**:
  ```bash
  sudo iptables-save > /tmp/iptables.rules  # Временный файл
  # Или для persistent: sudo nano /etc/iptables/rules.v4
  ```
- **Отредактировать файл**: Откройте в nano или vi. Файл выглядит так (пример):
  ```
  *nat
  :PREROUTING ACCEPT [0:0]
  :INPUT ACCEPT [0:0]
  :OUTPUT ACCEPT [0:0]
  :POSTROUTING ACCEPT [0:0]
  :REDSOCKS - [0:0]
  -A REDSOCKS -d 1.2.3.4 -j RETURN
  -A REDSOCKS -d 10.0.0.0/8 -j RETURN
  # ... остальные исключения
  -A REDSOCKS -p tcp -m multiport --dports 80,443 -j REDIRECT --to-port 12345
  -A PREROUTING -j REDSOCKS
  -A PREROUTING -p udp --dport 53 -j REDIRECT --to-port 10053
  -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-port 5300
  -A POSTROUTING -o eth0 -j MASQUERADE
  COMMIT
  ```
  Добавляйте/удаляйте строки с -A, -I и т.д. Сохраните файл.

- **Загрузить правила**:
  ```bash
  sudo iptables-restore < /tmp/iptables.rules
  # Для persistent: sudo netfilter-persistent reload
  ```

##### Шаг 4. Очистка правил (если нужно сбросить)

- Очистить цепочку: `sudo iptables -t nat -F REDSOCKS` (flush).
- Удалить цепочку: `sudo iptables -t nat -X REDSOCKS`.
- Полная очистка nat: `sudo iptables -t nat -F` (осторожно!).

**Советы**: После изменений проверьте правила (`iptables -t nat -L`) и протестируйте трафик (curl, dig). Для IPv6 используйте `ip6tables`. Если система на nftables, редактируйте /etc/nftables.conf и примените `sudo nft -f /etc/nftables.conf`.

**Приступим к настройке iptables:**
```bash
# ВАЖНО: Укажите IP вашего удаленного прокси
PROXY_IP="51.77.190.247"

# --- ОБЩАЯ НАСТРОЙКА ---
# Очищаем цепочку REDSOCKS (если существует, для теста)
sudo iptables -t nat -F REDSOCKS || true
sudo iptables -t nat -X REDSOCKS || true

# Создаём новую цепочку REDSOCKS для TCP
iptables -t nat -N REDSOCKS

# Исключаем сам прокси-сервер, чтобы избежать бесконечного цикла
iptables -t nat -A REDSOCKS -d $PROXY_IP -j RETURN

# Игнорируем локальные и зарезервированные сети
iptables -t nat -A REDSOCKS -d 0.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 10.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 127.0.0.0/8 -j RETURN
iptables -t nat -A REDSOCKS -d 169.254.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 172.16.0.0/12 -j RETURN
iptables -t nat -A REDSOCKS -d 192.168.0.0/16 -j RETURN
iptables -t nat -A REDSOCKS -d 224.0.0.0/4 -j RETURN
iptables -t nat -A REDSOCKS -d 240.0.0.0/4 -j RETURN

# --- ИСПРАВЛЕНИЕ: Перенаправляем только ВЕБ-трафик ---
# Мы НЕ хотим ломать SSH, FTP и т.д. Перенаправляем только HTTP и HTTPS.
# Для email (25,465) или других портов добавьте в --dports
iptables -t nat -A REDSOCKS -p tcp -m multiport --dports 80,443 -j REDIRECT --to-port 12345

# (Опционально) Если вы уверены, что хотите проксировать ВЕСЬ TCP-трафик:
# iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-port 12345

# --- ВЫБЕРИТЕ ВАШ СЦЕНАРИЙ ---

# === СЦЕНАРИЙ А: Прокси для шлюза (трафик ДРУГИХ устройств) ===
# Клиенты должны использовать сервер как default gateway (via DHCP или статично)

# 1. Включаем IP-форвардинг (постоянно)
echo 'net.ipv4.ip_forward=1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

# 2. Применяем правила к транзитному трафику
iptables -t nat -A PREROUTING -j REDSOCKS

# 3. Перехватываем DNS-трафик (UDP 53) и отправляем на redsocks
iptables -t nat -A PREROUTING -p udp --dport 53 -j REDIRECT --to-port 10053

# 4. Перехватываем TCP-DNS
iptables -t nat -A PREROUTING -p tcp --dport 53 -j REDIRECT --to-port 5300

# 5. Включаем MASQUERADE (КРИТИЧЕСКИ ВАЖНО для шлюза)
# Замените eth0 на ваш ВНЕШНИЙ сетевой интерфейс
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# === СЦЕНАРИЙ Б: Прокси для самого сервера (ЛОКАЛЬНЫЙ трафик) ===

# 1. Применяем правила к локальному трафику
iptables -t nat -A OUTPUT -j REDSOCKS

# 2. Перехватываем локальный DNS-трафик
iptables -t nat -A OUTPUT -p udp --dport 53 -j REDIRECT --to-port 10053

# 3. Перехватываем TCP-DNS
iptables -t nat -A OUTPUT -p tcp --dport 53 -j REDIRECT --to-port 5300
```

**Важно**: Не применяйте оба сценария одновременно без глубокого понимания. Выберите тот, который соответствует вашей задаче.

##### **Шаг 5. Запуск redsocks**

```bash
sudo systemctl start redsocks
# Убедитесь, что сервис запущен
sudo systemctl status redsocks
```

#### **Часть 4. Проблемы и Продвинутые Решения**

##### **Утечки DNS (UDP vs TCP)**

Этот гайд решает проблему, перехватывая DNS-запросы по UDP (порт 53) и TCP с dnstc. Однако, если прокси не поддерживает UDP-associate (для redudp), DNS не пройдёт — проверьте логи. Для полной защиты проверьте на dnsleaktest.com.

##### **Проблема с HTTPS и SSL**

У redsocks этой проблемы нет. Он работает на транспортном уровне (TCP) и не пытается расшифровать ваш HTTPS-трафик. Он просто берет ваш уже зашифрованный HTTPS-пакет и "заворачивает" его целиком в SOCKS5. Владелец прокси не может прочитать ваши данные.

##### **Заметка о современных альтернативах**

redsocks — мощный, но довольно старый инструмент. В 2025 году для новых систем, особенно использующих nftables, часто рекомендуют более современные альтернативы, такие как ss-redir (из shadowsocks-libev) или V2Ray/Xray, которые выполняют схожие задачи с лучшей производительностью и плагинами. Для UDP без redsocks рассмотрите TPROXY в iptables/nftables. Если в контейнерах или на Android/routers (GL.iNet) — redsocks работает, но требует кастомной прошивки.

#### **Часть 5. Тестирование и Отладка**

Если что-то не работает, вот ваш чек-лист:

- **Проверьте IP**: `curl ifconfig.me` (должен показать IP вашего SOCKS5-прокси, а не сервера).
- **Проверьте DNS**: `dig google.com` или `nslookup google.com`. Проверьте IP-адрес, который отвечает. Проверьте утечки: Откройте browserleaks.com или dnsleaktest.com.
- **Проверьте логи redsocks**: Это ваш лучший друг.
  ```bash
  tail -f /var/log/redsocks.log
  # Или: journalctl -u redsocks
  ```
  Ищите сообщения об ошибках подключения или аутентификации (например, 'authentication failed' — неверный login/password).
- **Проверьте доступность прокси**: Убедитесь, что ваш сервер может подключиться к прокси-серверу:
  ```bash
  nc -zv 51.77.190.247 9595
  # (Ожидаемый ответ: Connection to 51.77.190.247 9595 port [tcp/*] succeeded!)
  ```
- **Проверьте порты**: `ss -tuln` (должны слушаться 12345, 10053, 5300).
- **Проверьте Firewall**: Убедитесь, что ufw или firewalld не блокируют ваши новые правила. Если SSH сломан — отключите перенаправление всего TCP.
- **Common Issues**: 'Connecting but not responding' — проверьте proxy-type (http-relay для HTTP). Бесконечный цикл? Убедитесь, что PROXY_IP исключён.

#### Часть 6. Сохранение правил iptables

Настройки iptables сбрасываются при перезагрузке. Чтобы сделать их постоянными, установите iptables-persistent.

```bash
sudo apt update
sudo apt install iptables-persistent
```

Во время установки он спросит, хотите ли вы сохранить текущие правила. Согласитесь. Если вы позже измените правила, для их сохранения выполните:

```bash
sudo netfilter-persistent save
```

Для очистки:
`sudo iptables -t nat -F REDSOCKS; sudo iptables -t nat -X REDSOCKS; sudo iptables -t nat -D PREROUTING/OUTPUT ...`
(удалите конкретные правила).

#### **Заключение**

Прозрачный прокси с iptables — это невероятно мощный инструмент. Благодаря redsocks (или redsocks2), его можно настроить для работы с современными SOCKS5-прокси. Главное — помнить о безопасности, избегать перехвата всего TCP-трафика (фильтруя порты), включать MASQUERADE для шлюзов и всегда перехватывать DNS-запросы, чтобы избежать утечек.

#### **FAQ**

- **Не работает подключение?** Проверьте прокси в logs: 'authentication failed' — неверный login/password.
- **Бесконечный цикл?** Убедитесь, что PROXY_IP исключён.
- **В контейнерах?** Redsocks требует cap_net_admin; используйте --privileged в Docker.
- **Не работает с моим прокси?** Если HTTP — используйте type = http-connect для HTTPS-совместимости.