Einrichten eines obfuskierten VPN Services (2/2)

Autor

kikki

Last edited

25 Mar 2023

Automatisches Wechseln der Bridge (aka Hopping)

Im vorherigen Teil dieses Tutorials hatten wir ein OpenVPN-Gateway und eine darauf verweisende obfs4-Bridge eingerichtet und überprüft, ob unsere Einrichtung einwandfrei funktioniert.

Jetzt wollen wir den Zensoren endgültig den Wind aus den Segeln nehmen, indem wir ständig von einer Bridge zur nächsten wechseln. Das ist ein neuer Pluggable-Transport, den wir im Moment "Hopping PT" nennen.

Tip	Wir sind offen für Vorschläge für einen besseren Namen! Bei LEAP haben wir eine lange Tradition darin, Dinge nach Tieren zu benennen, die springen, also vielleicht Grashüpfer?

Anpassen des Gateways

Wir müssen die openvpn-Konfiguration ändern, um UDP zu verwenden, und ein paar weitere Kniffe vornehmen:

Öffne eine Shell in der Gateway-Box:

cd /etc/openvpn
cp server.conf server-hopping.conf

Editiere /etc/openvpn/server-hopping.conf so, dass sie wie folgt aussieht:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


proto udp

push "ip link set mtu 48000 dev tun0"
float
tun-mtu 48000
fragment 0
mssfix 0

cipher AES-256-CBC
[...]

Starte das OpenVPN-Gateway mit den neuen Einstellungen neu

systemctl stop openvpn@server.service
systemctl start openvpn@server-hopping.service

Eine zweite Bridge einrichten

Erstelle eine neue obfs4-Bridge, indem du den Anweisungen im ersten Teil des Tutorials folgst, bis es Zeit ist, :https://docs.leap.se/de/tutorials/obfsvpn-part-1/#_start_the_bridge[die Brücke zu starten].

./server -addr 0.0.0.0 -h -state test_data -c test_data/obfs4_state.json -v -vpn $RHOST

Für den Hopping-Modus müssen wir den Port nicht angeben - die Ports werden nach dem Zufallsprinzip generiert.

Anpassen der ersten Brücke

Verbinde dich mit deiner ersten Brücke und stoppe sie, falls sie gerade läuft.
Verwende dann die gleiche Zeile wie oben, um sie neu zu starten.

Starte den obfsvpn-Client im Hopping-Modus

Zurück auf deinem Client-Rechner, werden wir Anpassungen an obfsvpn vornehmen:

Beende zuerst den Client, indem du ctrl+c im Terminal mit dem laufenden Client drückst.
Starte den Client mit neuen Argumenten neu:

./client -h -c <bridge1_cert>,<bridge2_cert> -r <bridge_ip_1>,<bridge_ip_2>

Anpassen des OpenVPN-Clients

sudo su
cd /etc/openvpn
cp client.conf client-hopping.conf

Und nun bearbeite client-hopping.conf wie folgt:

1
2
3
4
5
6
7
8


proto udp 

replay-window 65535
tun-mtu 48000
fragment 0
mssfix 0

Verschlüsselung AES-256-CBC

Start!

Der Hopping-Modus unterscheidet sich wesentlich dadurch, dass wir nicht Socks zwischen openvpn und obfsvpn-Client verwenden. Stattdessen verbinden wir uns mit dem obfsvpn-Client über udp, als ob dieser Client ein openvpn-Server wäre.

openvpn --config client-hopping.conf --remote 127.0.0.1:8080

Hoffentlich hat das zu einer erfolgreichen Tunnelinitialisierung geführt. Aus der Sicht von openvpn sollte die Verwendung des Hopping-Modus keinen Unterschied machen.

Glückwunsch!

Das war’s für den Moment! Du hast nun eine Möglichkeit, dich mit deinem eigenen VPN-Gateway zu verbinden und den Datenverkehr automatisch zwischen zwei verschiedenen verschleierten Brücken aufzuteilen. HAPPY CIRCUMVENTING! 🥳