如何实现识别 tcp 中的包含 http 的包 (期望使用 iptables)

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 2135 days ago, the information mentioned may be changed or developed.

想要实现一个 tcp 透明代理，并将其中所有的 http 请求重定向到另外一个端口

为了避免 XYZ 问题，我说一下本来的需求：修改所有流经网关的 HTTP 流量中的 User-Agent

完整的说明在: https://sunp.eu.org/t/724819#reply0

Supplement 1 · Nov 30, 2020

自己写了一个，用的NFQUEUE tartget

如果也有人在纠结这个问题，不妨看看

https://github.com/Zxilly/UA2F

TCP

流经网

xyz

user-agent

12 replies • 2020-11-18 13:17:29 +08:00

xchaoinfo

Nov 15, 2020 via Android

试试 mitmproxy 能否解决楼主的需求

0TSH60F7J2rVkg8t

Nov 15, 2020 via iPhone

如果是代理的话，改头就行了，但是那你得用技术（转发？ dns ？），要把访问目的地设定在你的代理 ip 上。但遇到 https，你就没法看到 http 头了。直接修改 tcp 包，一样有 https 的问题，而且即使是 http，你改了 header 还得重新计算 tcp 的 checksum： http://www.tcpipguide.com/free/t_TCPChecksumCalculationandtheTCPPseudoHeader-2.htm

learningman

Nov 15, 2020

@ahhui https 不需要改，这里指的是狭义的 http
检测到是 http 我就 redirect 到 nginx 去，应该就不用手动处理了吧

xuanbg

Nov 15, 2020

Nginx 就可以实现了吧

Jirajine

Nov 15, 2020 via Android

mitmproxy 已经支持透明模式，直接用就行了。

DoctorCat

Nov 15, 2020

位于 7 层代理服务端更改 ua 就行了。印象中 iptalbes 默认不支持对应用层的包做任何更改

muzuiget

Nov 15, 2020

这样还得先判断每个 TCP 链接是否 HTTP 链接，还要拆包，重新打包，兼容各种情况，麻烦得很。

无非就是想绕过校园网限制，何必纠结在 UA 上面呢，买个带公网的 VPS，把所有流量包装成 HTTP 协议内容穿出去就是，说不定简单的 CONNECT 式的代理就能绕过了。

zhangsanfeng2012

Nov 15, 2020 via Android

路由器起 http 代理服务器，代理服务器改 ua 不就行了

learningman

Nov 15, 2020

@xuanbg
@zhangsanfeng2012 已经用 nginx 改了，现在的问题是有的 http 请求不使用 80 端口，比如说 QQ 就用 8080 端口，但是如果用 iptables 直接转发 8080 的话，会有一些非 http 的 tcp 包也被转发到 nginx，这个 nginx 处理不了

@muzuiget 国内的公网带宽价格离谱，国外的连接速度离谱

@Jirajine 它能够做到非 http 的 tcp 直接放行吗？我看他也是一个 http 代理服务器

Jirajine

Nov 15, 2020 via Android

@learningman 它只能处理 http/https，其他的流量当然是原样转发。

LGA1150

Nov 16, 2020

@learningman #9
nginx 前面再套个 sslh

learningman

Nov 18, 2020

@LGA1150 好东西，要的就是这个，谢谢