Dotaz: obejití detekce natu

[jaVojta]

Zdravím, mám přes nat zapojen počítač a poskytovatel se rozhodl v dohledné době začít hlídat tuto možnost. Jak se to dá obejít, aby to na venek nebylo poznat? Ideálně realizovatelné s menší znalostí linuxu:)

Oba počítače jsou gentoo, venkovní s veřejnou ip, od vnitřního mi stačí jen pár věcí jako www, imap, icq..

---

---

Odpovědi

[Luboš Doležel (Doli)]

Když bude dělat problémy, tak mu řekněte, že používáte virtualizaci a všechny stroje jsou fyzicky na jediném stroji.

[jaVojta]

Když on se moc ptat nebude.. Neni nějaké elegantní řešení? Moc do sítí nevidím, spíš vůbec, ale nějaké tunely či co by nepomohli?

[trekker.dk]

Když on se moc ptat nebude.

A udělá co? Pokud tě odpojí, tak si na něj dojdi a seřvi ho, jestliže je ve smlouvě jeden počítač, tak virtualizací to neporušuješ.

Druhá věc, kterou bys měl udělat, je podívat se po jiném - slušném - providerovi.

[Zdeněk Burda]

Ať si trhne nohou...

Každý druhý má dnes doma malý router s linuxem, který dělá většinou nat, spousta lidí používánějaký virtualizační nástroj no a hodně lidí má stolní počítač a notebook případně víc počítačů v bytě. Pokud nepřipojuješ někoho cizího (souseda) tak buď v klidu, snad každý normální provider to nebude řešit.

[jaVojta]

kdyby to bylo tak jednoduche:), provajdr neni az tak komercni:), vyjímku si skusim ukecat, pokud to pujde. Ale neexistuje takové řešení? Doufal jsem že si linux nějak poradí:(

[Luboš Doležel (Doli)]

Mohl bys měnit TTL NATovaných paketů, už se to tu párkrát řešilo. Zkus to tu vyhledat.

Tím ale nevyřešíš problém s různými User-Agenty v HTTP požadavcích apod. Ale to už bych možná bylo porušení ochrany listovního tajemství, kdyby tohle ISP sledoval.

[petris]

Když to kontroluje stroj, tak to je v pořádku.

[mikky]

A na který koleji bydlíš? :D

[frEon]

nat se da detekovat tak, ze snizuje polozku ttl v hlavicce paketu pri kazdem pruchodu paketu nejakym natem. na routeru muzes zkusit nastavit toto:
iptables -t mangle -A PREROUTING -i eth0 -j TTL --ttl-set 64

[frEon]

aha, nejdriv sem si mel precist cele vlakno...

[jaVojta]

dik, skusim to, jen se výsledek asi dozvim trošku za dýl, jestli vůbec.

PS mr.MikyMaus: že se ještě ptáš..:)

[mikky]

dik, skusim to, jen se výsledek asi dozvim trošku za dýl, jestli vůbec.

Výsledek Ti můžu říct eště před tim, než ten kolotoč vůbec začne: jenom TTL Ti rozhodně nepomůže..

PS mr.MikyMaus: že se ještě ptáš..:)

Já jen tak pro jistotu :)

-m.

[jaVojta]

Tak pověz co to hlídá dál:) I když se mi teda nepodaří NAT zamaskovat:( tak se aspoň něco dozvím. Ikdyž naděje umírá poslední!

[frEon]

pripoj jeste jeden stroj pred ten nat a koukni se tcpdumpem co z toho leze...

[MMMMMMMMM]

i se zmenenym TTL u paketu se da NAT odhalit, treba touto sikovnou utilitou http://elceef.itsec.pl/natdet/

[Filip Jirsák]

Samotné www by šlo vyřešit proxy cache (např. Squid), jako bonus tím získáte rychlejší stažení stránky, pokud již je v cache. Ostatní protokoly nad tcp (a snad i udp) by šlo vyřešit pomocí Socket4 nebo Socket5 proxy. Umístíte proxy mezi internetovou přípojku a vaši síť, všechna spojení pak budou pocházet z vaší proxy.

Pak taky ještě můžete změnit poskytovatele za nějakého rozumnějšího, který případně omezuje množství stažených dat, ale ne počet zařízení. Protože někdo může na jednom počítači stáhnout giga denně, a někde může na pěti počítačích běžet IM, a stáhne se pár set kilo.

[mikky]

Samotné www by šlo vyřešit proxy cache (např. Squid), jako bonus tím získáte rychlejší stažení stránky, pokud již je v cache. Ostatní protokoly nad tcp (a snad i udp) by šlo vyřešit pomocí Socket4 nebo Socket5 proxy. Umístíte proxy mezi internetovou přípojku a vaši síť, všechna spojení pak budou pocházet z vaší proxy.

To by teoreticky i šlo, ovšem u totohle typu "agregace" dochází k nepříjemnostem na klientské straně. Nic hroznýho, ale mě by třeba nebavilo pořád nastavovat v každym programu použití proxy. Nemluvě o tom, že některé programy proxy třeba ani neumí (otázka kvality takového programu a nutnosti jeho využívání už je věc jiná)..

Pak taky ještě můžete změnit poskytovatele za nějakého rozumnějšího, který případně omezuje množství stažených dat, ale ne počet zařízení. Protože někdo může na jednom počítači stáhnout giga denně, a někde může na pěti počítačích běžet IM, a stáhne se pár set kilo.

Nikdo jinej mu nedá připojení 100Mbps za 800,- za semestr, s veřejnou IP, neomezenym příchozim trafikem, streamovanou TV a kdoví co všechno ještě ;)

-m.

[VM]

Nic hroznýho, ale mě by třeba nebavilo pořád nastavovat v každym programu použití proxy

Nekde jsem na to videl nejakou knihovnu, ktera se pomoci LD_PRELOAD automaticky pripojila ke spustenemu programu, a transparentne presmerovala provoz na SOCKS server. Takze se program nastavovat nemusel. Ale pod widlema to asi nepujde.

Jinak bych zkusil domluvit vyjimku s tim, ze si tam chci pripojit VOIP telefon pres VOIP router - to vypada jako rozumny pozadavek, a navic se to hodi k telefonovani za par haliru.

[mikky]

Nic hroznýho, ale mě by třeba nebavilo pořád nastavovat v každym programu použití proxy

Nekde jsem na to videl nejakou knihovnu, ktera se pomoci LD_PRELOAD automaticky pripojila ke spustenemu programu, a transparentne presmerovala provoz na SOCKS server. Takze se program nastavovat nemusel. Ale pod widlema to asi nepujde.

Člověk se pořád učí :) Tohle je pro mě docela zajímavá informace, asi si o tom něco pohledam - dík za tip ;)

Jinak bych zkusil domluvit vyjimku s tim, ze si tam chci pripojit VOIP telefon pres VOIP router - to vypada jako rozumny pozadavek, a navic se to hodi k telefonovani za par haliru.

To je sice hezký a u některých amatérských ISP by to možná i prošlo, ale rozumný detekční systém by hodně brzo přišel na to, že tam neni VOIP router a VOIP telefon, ale několik normálních počítačů za normálním routerem/NATem.

-m.

[jaVojta]

Až to zjistíš jak funguje to LD_PRELOAD, tak bys mi to mohl osvětlit:) Jinak to zatím vypadá, že to bude docela oříšek.

[Semo]

Mozes manipulovat s TTL, prepisovat flagy v IP, s generovanim timestamp asi tak lahko nehnes. Dalej si vypni, aby router neodpovedal na ARP requesty na blbom interface (linux je v tomto neobvykle ukecany) pomocou "net.ipv4.conf.all.arp_ignore = 1" v /etc/sysctl.conf

Comu ale nemozes zabranit, aby niekto na teba nasadil statisticke vyhodnocovanie trafficu. Pretoze to uz neokecas. Skutocne malokto dokaze browsovat s hlavneho stroja a dvoch dalsich virtualizovanych OS simultanne.

[xxmarv]

Ja bych tedy vypnul jenom ten adapter, ktery je napojen do internetu. A to podle eth0,eth1,... Na moznosti se muzes podivat takhle

sysctl -a | grep net.ipv4.conf.*.arp

Na eth0 by to bylo

net.ipv4.conf.eth0.arp_ignore = 1

v /etc/sysctl.conf nebo sysctl v shellu

[Zdeněk Štěpánek]

Co je to za kretenoidniho ISP, jestektomu ne uplne komercniho?

U nas v siti je NAT zakazany a kdo chce dostane na doma tolik adres kiolik potrebuje. Typicky /29 nebo /28.

Kdyz uz by slo do tuhyho tak bych nejspis zmenil providera. A jeste predtim bych dal klasicky NAT a k tomu maximalne jako doplnek prepisovani TTL a pripadne http proxy.

Nakopat do zadku a za usi do pruvanu!!! SMRT NATu!

Zdenek

[pavel]

Moc pěkně je to napsáno třeba v tomto článku ...