اتصال به ریپو های تحریم‌شده با پروکسی

[seyal]

داشتم بین انتخاب توزیع‌های مختلف برای نصب فکر می‌کردم که گفتم بزار ایندفعه برم سراغ فدورا
اما مهم‌ترین مانعی که در مسیر نصب توزیع‌های لینوکسی تو شرایط الان مواجه می‌شیم اینه که
چطور به مخازن تحریم شده دسترسی داشته باشیم و بدون دردسر بتونیم از اونا استفاده کنیم؟
اینجا می‌خوام در مورد این راهکارها صحبت کنم

دسته اول: راهکارهای مبتنی بر تنظیم شبکه به صورت تونل شده

۱- استفاده از روترهای لینوکسی بر پایه openwrt:
چون اساس سیستم‌عامل در این مودم‌ها لینوکس هست خیلی راحت می‌تونید از انواع مختلف کانفیگی که دارید روی اون استفاده کنید
مثلا یک کانفیگ vmess دارید. روی این روتر ست می‌کنید و حالا بدون هیچ دردسری هردستگاهی که بهش وصل کنید،
مستقیم نت تونل‌شده رو دریافت می‌کنه و نیاز به فعالسازی دستی فیلترشکن روی دستگاه نیست.

۲- استفاده از اینترنت موبایل و انتقال نت تونل شده از طریق usb c:
با استفاده از اپ PDAnet می‌تونید VPN فعال روی گوشی اندرویدی خودتون رو به pc که دارید منتقل کنید.
اگه کسی جایگزین متن‌باز این اپ رو می‌شناسه اعلام کنه


دسته دوم: راهکارهای مبتنی بر تنظیم پروکسی

اینجا ما به یک برنامه نیاز داریم که به ما آدرس پروکسی http و socks5 رو بده
یکی از بهترین برنامه‌ها v2rayNG برای اندروید و V2rayN برای لینوکس است.

اگر از برنامه V2rayN استفاده می‌کنید که آدرس پروکسی شما پیش‌فرض به این صورت هست(هم برای http هم socks5):

کد: [انتخاب]

127.0.0.1:10808
اگر از اندروید استفاده می‌کنید
اول باید از قسمت تنظیمات V2rayNG، برید تیک گزینه Share network through LAN رو بزنید که اشتراک از طریق هات‌اسپات فعال بشه.
پورت پیش‌فرضی که برای اشتراک استفاده می‌کنه 10808 هست و خودتون هم می‌تونید دستی اون رو تغییر بدید.
و اما برای فهمیدن اینکه این پورت روی چه آیپی آدرسی فعاله که بتونید ازش استفاده کنید
ابتدا به هات‌اسپات اندروید خودتون متصل بشید. سپس وارد صفحه مشخصات تو network manager بشید
اونجا که نوشته IPv4 Default GateWay میشه این آدرسی که این پروکسی روی اون فعاله
که مثلا برای من بود: 172.21.210.243
پس آدرس پروکسی ما هم میشه:

کد: [انتخاب]

172.21.210.243:10808این روش برای همون ابتدای نصب سیستم لینوکسی خیلی کاربردیه
چون اونجا مثلا تو دبیان پایدار که هنوز میزکاری نداریم که برنامه اجرا کنیم
در اواسط فرایند نصب میاره که اگه آدرس پروکسی دارید به صورت استاندارد وارد کنید
و من با وارد کردن به این روش تونستم اون رو نصب کنم:

کد: [انتخاب]

http://172.21.210.243:10808شاید بگید که دبیان پایدار که به پروکسی نیاز نداره
اما خوب برای من به طرز عجیبی بدون پروکسی کند بود و فرآیند نصب رو با مشکل مواجه می‌کرد و دست آخر مجبور شدم با روش بالا نصبش کنم.
هرچند می‌شه که بدون پروکسی هم اون رو نصب کرد و بعدا برید تو تنظیمات source و از میرورهای جایگزین استفاده کنید اما خوب دردسرش بیشتره.


و اما بریم سراغ تنظیم اون برای سیستم لینوکسی خودمون:

به شخصه این روش رو به تنظیم پروکسی به صورت global از طریق Network manager سیستم، ترجیح می‌دم
چون پایداری و شخصی‌سازی بیشتری داره و راحت‌تر می‌تونید عیب‌یابی کنید که مشکل از کجاست و داره از چه نوع پروکسی استفاده می‌شه.
مثلا برای لینوکس فدورا اگه شما از روش Network manager پیش برید نمی‌تونه که تحریم مخازن رو دور بزنه و یا حتی اگه Discover KDE رو هم باز کنید نمی‌تونید از اونجا فایلی چیزی دریافت کنید هرچند شاید اکسپلورش باز بشه.

پس بر حسب نیاز برای جاهایی که نیاز داریم پروکسی تنظیم می‌کنیم:
۱- تنظیم مرورگر:
یکی از بزرگ‌ترین مزیت‌های فایرفاکس همین مزیت تنظیم پروکسی به صورت built-in هست. واقعا پایداره.
خیلی راحت هم می‌تونید همونجا سایت‌های با پسوند خاص مثل .ir رو از پروکسی شدن سوا کنید که نیاز به خاموش و روشن کردن مداوم این تنظیم نباشه.
می‌رید به قسمت settings فایرفاکس و اونجا جستجو می‌کنید proxy
براتون منوی به اسم configure proxy میاره
اونجا میتونید آدرس پروکسی رو که دارید وارد کنید
من از socks5 اون استفاده می‌کنم دلیل:

تفاوت http با socks5:
در بعضی برنامه‌ها Socks5 سازگارتر است؛ زیرا در لایه پایین‌تر شبکه (لایه ۵) عمل می‌کند.
اما HTTP فرمت خاصی دارد و سربار (Overhead) بیشتری به داده‌ها اضافه می‌کند (لایه ۷).
Socks5 برای ترافیک‌های غیروب نظیر UDP، بازی‌های آنلاین، تماس‌های اینترنتی (VoIP) و دانلود تورنت (P2P) مناسب‌تر است و به‌دلیل خام بودن، خطای کمتری دارد.

نکته مهم: هرجا از پروکسی socks5 استفاده کردید حتما برای اینکه نشتی آیپی نداشته باشه(برخلاف http)
باید تیک گزینه Proxy DNS when using Socks5 رو بزنید.
در جاهایی که این گزینه وجود نداره معمولا با قراردادن پسوند h جلوی socks5 می‌تونید این قابلیت رو فعال کنید
یعنی آدرس پروکسی رو این‌‌طوری می‌نویسید:

کد: [انتخاب]

socks5h://127.0.0.1:10808برای همین دلیل هم بود که ترجیح می‌دم به جای استفاده از Network manger و تنظیم گلوبال، از روش manual استفاده کنم تا خودم تنظیم کنم که چه اپی از socks5 و کدوم از http و با چه تنظیماتی استفاده کنه.


تنظیم پروکسی برای مخازن:(مهمترین قسمت)
برای اینکه برای مخازن پروکسی تنظیم کنیم
لازمه که حتما فایل config اون رو تغییر بدیم و به صراحت بگیم که از پروکسی استفاده کنه
مثلا برای فدورا(برای debian base ها به جای dnf بنویسید apt) ابتدا این فایل رو با این دستور باز کنید:

کد: [انتخاب]

sudo nano /etc/dnf/dnf.confسپس قرار دادن این دو خط و ذخیره فایل:

کد: [انتخاب]

[main]
proxy=socks5h://127.0.0.1:10808


تنظیم پروکسی به صورت کلی برای دستورهای git و curl و ... :

کد: [انتخاب]

nano .bashrcسپس قرار دادن این چند خط در انتهای فایل و ذخیره:

کد: [انتخاب]

# SOCKS5 Proxy Aliases
ALL_PROXY=socks5h://127.0.0.1:10808
HTTP_PROXY=socks5h://127.0.0.1:10808
HTTPS_PROXY=socks5h://127.0.0.1:10808


برای اپ‌ها و برنامه‌های خاص و رهگیری رفتار پروکسی در ترمینال هم از proxychains-ng استفاده کنید(کاربردش رو جلوتر می‌گم):

کد: [انتخاب]

sudo dnf install proxychains-ng
سپس تنظیم انتهای فایل به این صورت:

کد: [انتخاب]

[ProxyList]
# add proxy here ...
# meanwile
# defaults set to "tor"
http    127.0.0.1 10808
برای این proxychains ترجیح می‌دم که از نوع http استفاده کنم که بتونم روی این نوع پروتکل هم برنامه رو تست کنم.

حالا کاربردش چیه؟
مثلا من می‌خواستم از discover تم نصب کنم هرکار می‌کردم نمی‌شد
اما با اجرای این دستور از ترمینال به راحتی می‌شد که اون رو باز کرد و تم نصب کرد و به طور واضح هم خطاها رو در ترمینال می‌گفت:

کد: [انتخاب]

proxychains4 plasma-discover

کد: [انتخاب]

proxychains4 systemsettings
این هم خلاصه‌ای از تجربه من از سر و کله زدن با انواع پروتکل‌های پروکسی و یافتن روش بهینه برای نصب

[seyal]

خوب یک روش دیگه‌ای هم هست که به ذهنم رسید اجراش کنم و خروجی خوبی هم داد
یجورایی شبیه همون روش روتر Openwrt هست.

به این صورت که یک لپتاپ قدیمی داشتم و روش اوبنتو ریخته بودم
گفتم چطوره که بیایم و کانفیگ v2ray که داریم رو روی این دستگاه فعال کنیم و بعد خروجی اون رو با یک روتر پخش کنیم
یعنی اینکه لپتاپ با وایفای خودش به مودم/روتر ما وصل می‌شه حالا می‌تونه این اینترنتی رو که از این طریق دریافت می‌کنه به صورت تونل‌شده با پورت LAN خروجی بده که بعدا خروجی این پورت LAN رو به یک اکسس‌پوینت معمولی بدیم.
و حالا هر دستگاهی که به این Access Point وصل بشه یک اینترنت پروکسی‌شده رو دریافت می‌کنه.
حتی می‌تونید مستقیم این کابل LAN رو به یک لپتاپ دیگه وصل کنید و تو اون لپتاپ اینترنت تونل شده دریافت کنید.

این روش برای این خوبه که مثلا دستگاهی دارید به صورت native قابلیت تنظیم پروکسی نداره
یا اینکه یه توزیع لینوکسی خاصی رو می‌خواهید نصب کنید که همون اول باید به اینترنت بین‌الملل متصل باشید تا پکیج‌های ضروری اولیه رو بگیره


خوب بریم سراغ مراحل کار:
من این کار رو تو اوبنتو 26.04 انجام دادم و خیلی خوب کار می‌کرد.
سیستم مقصد خودم هم که خروجی رو تست کردم فدورا بود.
این دو تا اسم رو می‌گذارم که آموزش واضح‌تر باشه.
پس میزبان شد اوبنتو و مقصد هم فدورا.
دقت کنید من اکثر دستورات رو با sudo انجام می‌دم چون این سیستم من آزمایشی هست شما اگه می‌خواید انجام بدید یا کامل مطالعه کنید ببینید چطور وابستگی‌ها نصب می‌شن و کلاینت کار میکنه.


۱- با سیستم اوبنتو به وایفای که دارید متصل بشید

۲- دو تا لپتاپ رو با کابل LAN به همدیگه متصل کنید

۳- داخل اوبنتو این دستور رو اجرا کنید:

کد: [انتخاب]

nm-connection-editorیک پنجره گرافیکی نمایش داده می‌شه
وارد تنظیمات قسمت Ethernet که به فدورا متصله بشید(در حالیکه گزینه Ethernet هایلایت هست اون چرخ‌دنده پایین گوشه سمت چپ صفحه رو بزنید)
بعد برید داخل قسمت IPV4 Setting و گزینه Shared to other computers رو از منوی Method انتخاب و ذخیره کنید و خارج بشید
تا الان نصف راه رو اومدیم اگه با فدورا از کابل LAN به اوبنتو متصل بشید می‌بینید که دسترسی به اینترنت براتون برقرار هست.

۴- نیاز به نرم‌افزاری داریم که بتونه کانفیگ ما رو در حالت TUN Mode اجرا کنه.
نرم‌افزارهای مختلفی رو امتحان کردم؛ هسته‌های خام که تنظیمات پیچیده‌ای داشتند و Beginner friendly نبود، V2rayN هم که TUN Modeاش دارای باگ بود هم تو فدورا هم اوبنتو، nekoray هم که TUN مودش کار می‌کرد قدیمی بود و کانفیگ‌های جدید وصل نمی‌شد. خیلی گشتم تا اینکه در نهایت به این نرم‌افزار رسیدم که عالی کار می‌کنه:

کد: [انتخاب]

https://github.com/throneproj/Throneایشون از همون پروژه Nekoray استفاده می‌کنه اما به طور مرتب آپدیت هسته‌ها رو انجام میدن. برای نصب این نرم‌افزار نسخه .zip مخصوص لینوکس رو دانلود کنید و سپس اجرای این دستورات:

کد: [انتخاب]

wget https://github.com/throneproj/Throne/releases/download/1.1.6/Throne-1.1.6-linux-amd64.zip
unzip Throne-1.1.6-linux-amd64.zip
cd Throne-1.1.6-linux-amd64
cd Throne
chmod +x ./Throne
۵- نرم‌افزار رو اجرا کنید
نکته مهم:
شاید وقتی این برنامه با فایل‌منیجر اجرا کنید ببیند که باز نمیشه.
داشتم ازش دلسرد می‌شدم که تو ترمینال اون رو به این صورت باز کردم(اگر برای شما هم باز نشد به این روش می‌تونید بفهمید مشکل از کجا بوده):

کد: [انتخاب]

./Throneو معلوم شد که بعضی کتابخونه‌ها که برای اجراش لازم هستند رو نداره که به این روش نصب کنید:

کد: [انتخاب]

sudo apt update
sudo apt install libopengl0 libgl1 libglx0 libgl1-mesa-glxحالا باز با همون دستور قبلی پس از نصب این کتابخونه‌ها برنامه رو اجرا کنید.

۶- کانفیگ خودتون رو وارد نرم‌افزار کنید و پس از فعال کردن از قسمت بالای سمت راست گزینه TUN Mode رو تیک بزنید.

۷- تمام.
حالا هم روی خود اوبنتو و هم فدورا به اینترنت تونل شده دسترسی دارید
بدون اینکه نیاز باشه که برای هر کاری مدام دستی پروکسی تعیین کنید.
از تو لاگ نرم‌افزار Throne هم به راحتی می‌تونید ترافیک رو بررسی کنید
اگه به جای فدورا یک اکسس‌پوینت و یا روتر قرار بدید(با اتصال صحیح به پورت ورودی و تنظیم صحیح) اون روتر/اکسس‌پوینت می‌تونه این اینترنت تونل شده رو به دستگاه‌هایی که بهش متصل می‌شن مثل یک اینترنت عادی پخش کنه بدون اینکه متوجه بشن که به یک VPN متصلند.

البته اینم امکان‌پذیره که با اوبنتو اینترنت رو با LAN از مودم بگیرید و اوبنتو پس از فعالسازی هات‌اسپات لپتاپ مثل یک پخش‌کننده عمل کنه(اونو امتحان نکردم دیگه) 
ترجیحا یک تست DNS Leak هم بگیرید. من گرفتم مشکلی نداشت.


یک کاربرد خیلی خوب دیگه‌ای که این روش میتونه داشته باشه:
فرض کنید که شما از جایی یک کانفیگ حرفه‌ای برای کارهای Trade و .. تهیه کردید
اما این کانفیگ‌ها در شرایط نت فعلی متصل نیستند و اپ مخصوص به خودشون رو هم دارند.
از اون طرف هم این کانفیگ‌های V2ray که دارید درسته که دسترسی به اینترنت بین‌الملل رو براتون فراهم می‌کنند
اما آیپی‌های حرفه‌ای ندارند و ریسک کار با اون در اپ‌های حساس بانکی و .. بالاست.

تو روشی که یک سیستم باید همه‌چیز رو هندل کنه، یعنی به صورت proxychain هم به کانفیگ v2ray متصل بشه هم به کانفیگ تمیزی که دارید
اون کانفیگ تمیز حتما باید پروتکلش قابل ایمپورت کردن به این اپ v2ray باشه در غیر این صورت پس از فعالسازی هرکدوم با مشکل routing loop مواجه می‌شید
چون وقتی V2ray رو فعال کنید میاد کل شبکه رو تونل می‌کنه و اون تونلی که برنامه دوم ساخته بود رو پاک می‌کنه
اگه هم بیاید اپ دوم رو فعال کنید میاد تونل v2ray رو غیرفعال می‌کنه و دسترسی خودش و v2ray رو به اینترنت قطع می‌کنه
حتی با تنظیم پروکسی برای اون اپ خاص هم این مشکل حل نمیشه چون به محض اینکه اون اپ TUN مود خودش رو فعال کنه v2ray دیگه نمی‌تونه به اینترنت متصل بشه.

مگر اینکه اپ دوم به شما اجازه بده که اون رو در حالت صرفا پروکسی اجرا کنید و کل سیستم رو TUN نکنه که خوب خیلی از این اپ‌های شخص ثالث از این قابلیت پیشتیبانی نمی‌کنند چون قابلیت‌هایی مثل kill switch و .. رو برای حداکثر ایمنی روی اون پیاده‌سازی کردند.

البته تو لینوکس باز هم می‌شه که دو تا TUN رو به هم زنجیره کرد
اما کار پیچیده‌ای هست و دوم اینکه مثلا اگر دستگاه اندرویدی داشته باشید که قابلیت root نداشته باشه و بخواید نه به طور همیشگی بلکه هروقت خواستید اون VPN دوم رو فعال کنید و وصل بشید باز با مشکل مواجه‌اید.

درحالیکه با این روشی که گفتیم وقتی ما شبکه رو به طور TUN شده از روتر یا لپتاپ دریافت می‌کنیم بدون هیچ مشکلی می‌تونیم از ابزارهای جهانی به طور استاندارد و ساده روی سیستم‌های دیگه خودمون هم استفاده کنیم  مثلا روی اندروید اپی که داریم(مثلا Proton VPN) رو باز کنیم و به راحتی به اون متصل بشیم چون مثل کاربری هستیم که به طور پیشفرض اینترنت بین‌الملل داره.

[esmaeelE]

ممنون از ارسال مفیدتون.
این روش قابلیت kill switch هم داره؟ اگه اضافه بشه خیلی خوب می‌شه.

[seyal]

با توجه به اینکه پروژه V بیشتر هدفش اتصال به اینترنت آزاد هست تا داشتن قابلیت‌های پیشرفته حریم خصوصی و فراهم کردن یک VPN تجاری،
باید کلاینتی که از اون استفاده می‌کنیم این رو ساپورت کنه که developer ها زیاد مانوری روی این قضیه نمی‌دن
هرچند با تنظیم صحیح و آگاه بودن کاربر تا حد زیادی می‌شه به این نتایج رسید.
من هم با تست‌هایی که داشتم زیاد اعتمادی به این kill switch تو خود کلاینت‌ها ندارم چون اصلا هدفشون این نیست.

برای همین هم هست که این روشی که بالا گفتیم می‌تونه مفید واقع بشه
چون که با داشتن اتصال اینترنت بین‌الملل به صورت ورودی Native در دستگاه، می‌تونیم از کلاینت‌ها و پروتکل‌های استاندارد VPN استفاده کنیم
و حالا با استفاده از اون اپ و پروتکل‌های استاندارد به قابلیت‌های kill switch و .. دسترسی داریم چون مخصوص این نیاز ساخته شدن.