Leiten Sie den gesamten Webverkehr ohne VPN über TLS um

Ich habe es herausgefunden. : D Diese Lösung erfüllt alle meiner Anforderungen und erfüllt alle meiner Ziele perfekt. Die Leistung ist auch nicht schlecht, wenn man bedenkt, wie hoch die Indirektion ist, die notwendig ist, um dies zu erreichen.

Der allgemeine Ansatz lautet also:

1. Richten Sie eine lokale Zertifizierungsstelle (CA) ein und generieren Sie einen RSA-"Serverschlüssel" und einen "Clientschlüssel" (ich habe eine 256-Bit-Verschlüsselung verwendet). Dafür habe ich die Version Easy-RSA verwendet 3.0.0-rc2.

2. Führen Sie einen beliebigen Moor-Standard-HTTP-Proxy auf der "Debian-Box" (dem Server im öffentlichen Internet) aus und stellen Sie sicher, dass er nur auf localhost lauscht (er sollte NICHT dem öffentlichen Internet ausgesetzt sein). Für meine Zwecke habe ichPrivoxy, aber Squid hätte genauso gut funktioniert. Da nur localhost überwacht wird, ist keine Authentifizierung erforderlich (es sei denn, auf Ihrer Box werden Prozesse ausgeführt, denen Sie nicht vertrauen; in diesem Fall, Huch...)

3. Laden Sie stunnel herunter und installieren Sie es sowohl auf dem Client als auch auf dem Server. Der Prozess dafür wird betriebssystemspezifisch sein; In meinem Fall habe ich mich entschieden, Stunnel aus der Quelle zu kompilieren (Paranoia...) für Windows, was ein ziemlich involvierter Prozess war, werde ich hier nicht detailliert beschreiben. Auf der Serverseite war es im Paketmanager verfügbar :)

4. Stunnels Konfiguration war anfangs ziemlich entmutigend, aber es ist einfacher als es scheint! Grundsätzlich auf der server, Sie benötigen so etwas wie den folgenden "Server' s Stunnel.conf". Auf dem Client benötigen Sie so etwas wie den folgenden "Client' s Stunnel.conf".

5. Starte Privoxy; starte Stunnel auf dem Server und zeige es auf die Konfigurationsdatei; starte Stunnel auf dem Client und zeige es auf die Konfigurationsdatei. Es gibt wirklich nichts Besonderes an Privoxys Konfiguration; Der Standardwert war in Ordnung für mich.

6. In Firefox, Ihrem Browser der Wahl auf der Clientseite, legen Sie HTTP und HTTPS fest proxy scheint derselbe zu sein wie der Port, den der Stunnel Ihres Clients abhört - wahrscheinlich so etwas wie localhost: 8080.

Ich sollte wahrscheinlich beachten, dass, wenn der Proxy Ihres lokalen Netzwerks eine Art Authentifizierung erfordert, Sie entweder Stunnel dazu bringen müssen, sich für Sie zu authentifizieren, oder Sie verwenden einen anderen lokalen abfangenden Proxy und verketten Sie sie zusammen - so etwas wie Firefox - > stunnel - > lokaler authentifizierender Proxy - > LAN-Proxy / Gateway - > Internet - > der stunnel -> privoxy.

Das ist eine Menge Kopieren, aber es funktioniert!

;This is the *client's* stunnel.conf.
[https]
accept = localhost:9020
connect = your.lan.proxy:80
client = yes
protocol = connect
;protocolHost should be the same as the "accept" for the server
protocolHost = 1.2.3.4:443
;Same CAfile, different cert and key pair
CAfile = ca.crt
cert = client.crt
key = client.key
;VERY IMPORTANT!!! Make sure it's really your server and not a MITM attempt by your local network by making sure that the certificate authority "ca.crt" really signed the server's cert
verify = 2
;More performance tweaks...
sessionCachetimeout = 600
sessionCacheSize = 200
TIMEOUTidle = 600

.

;This is the *server's* stunnel.conf.
[https]
;1.2.3.4 is a publicly-routable, static IP address that can be connected to by your box that's under the firewall
accept = 1.2.3.4:443
;localhost:8118 is an example of where your local forwarding HTTP(S) proxy might reside.
connect = localhost:8118
CAfile = ca.crt
cert = server.crt
key = server.key
;VERY IMPORTANT!!! Without this, anyone in the world can use your public stunnel port as an open proxy!
verify = 2
;Set some timeouts higher for performance reasons
sessionCacheTimeout = 600
sessionCacheSize = 200
TIMEOUTidle = 600

Sobald alles konfiguriert ist, sieht das Endergebnis ungefähr so aus:

1. Ihr Webbrowser stellt eine Verbindung zu localhost:9020 (stunnel) her und behandelt ihn wie einen Proxy, der HTTP-und/oder HTTPS-Verbindungen akzeptieren kann.
2. Sobald stunnel eine Verbindung von Ihrem Browser erhält, erreicht er über den Proxy/Gateway Ihrer Firewall eine TLS-Sitzung mit Ihrer Fernbedienung Server. Zu diesem Zeitpunkt überprüft Ihr Client das PKI-Zertifikat Ihres Servers und umgekehrt.
3. Sobald die TLS-Sitzung mit Ihrem Remote-Server eingerichtet ist, leitet stunnel die von Ihrem Browser kommenden Daten, z. B. eine HTTP-Anforderung oder eine SSL-Tunnelanforderung, über den lokalen Proxy und direkt an Ihren Server weiter. Dieser Kanal ist verschlüsselt, sodass Ihr lokales Netzwerk nicht erkennen kann, was die Daten enthalten, sondern nur durch eine Verkehrsanalyse erraten kann.
4. Sobald die stunnel Instanz das Ausführen von auf Ihrem Server beginnt mit dem Empfangen von Daten und öffnet eine Verbindung zu zB localhost:8118, wo Ihr HTTP (S) Proxy-Server, in meinem Fall Privoxy, abhört.
5. Privoxy verhält sich dann wie ein normaler Weiterleitungs-HTTP-Proxy-Server und leitet Ihre Anfragen über den ISP des Servers an das öffentliche Internet weiter.

Die Anzahl der beteiligten Sockets und Puffer macht diese Methode zu einem sehr hohen Overhead, insbesondere wenn Sie eine SSL-Verbindung über den Proxy verschachteln, aber es hat den Vorteil, dass Ihr lokales Netzwerk keine Möglichkeit hat zu wissen, welche Websites Sie über SSL besuchen. Ich meine, es weiß, dass Sie Ihren Server besuchen, aber abgesehen davon weiß es nicht, ob Sie Google Mail oder SuperUser oder was auch immer besuchen. Und Ihr lokales Gateway hat keine Möglichkeit, Sie zu filtern oder zu blockieren.