Einleitung

Zuletzt war ich an einem internationalen Flughafen unterwegs und wollte etwas im Internet über das Flughafen-WLAN surfen. Nach allen möglich Angaben über meine Haustiere, näheren Verwandten und Lieblingsbars, die ich selbstverständlich absolut wahrheitsgemäß beantwortet habe, war ich dann auch letztendlich mit dem Internet verbunden. Jetzt gehört meine Wenigkeit jedoch zu jenen paranoiden, die grundsätzlich bei öffentlichen WLANs, bei denen ich den Administrator nicht kenne, bzw. auch nicht weiß, welche Sicherheitsmaßnahmen dieser integriert hat, ein VPN benutzt. Also öffne ich eine x-beliebige VPN-App, möchte mich verbinden, kann aber nicht. Nach einigen Sekunden wird mir dann auch klar warum. Alle Ports außer der http (80) und https (443) sind gesperrt. Nun hatte ich das Glück, dass mein VPN-Betreiber auch diese Ports unterstützen konnte, letztendlich fragte ich mich jedoch, ob es möglich wäre in Zukunft für so eine Eventualität auch mit dem heimischen VPN gerüstet zu sein. Auf meinem Server lief bereits ein OpenVPN über den gewohnten Port 1194, der mir in dieser Situation natürlich nicht viel nutzte. Gab es also eine Möglichkeit, den Port 443 für mehrere Anwendungen zu benutzen? Nach etwas Recherche fand ich dann auch, was ich brauchte - einen sog. Protocol Multiplexer namens SSLH. Die Konfiguration des Ganzen war nicht allzu einfach, daher hier mein Konfigurationsvorschlag für jene, die Ähnliches vorhaben.

Konfigurationsdateien

/etc/sslh.cfg

# Default Arch configuration
# You can find more examples in /usr/share/doc/sslh

timeout: 2;
foreground: true;
transparent: true;

listen:
(
    { host: "internal-network-adress"; port: "443"; }
);

protocols:
(
     { name: "ssh"; service: "ssh"; host: "localhost"; port: "22"; probe: "builtin"; },
     { name: "openvpn"; host: "localhost"; port: "1195"; probe: "builtin"; },
     { name: "xmpp"; host: "localhost"; port: "5222"; probe: "builtin"; },
     #{ name: "http"; host: "localhost"; port: "80"; probe: "builtin"; },
     { name: "tls"; host: "localhost"; port: "443"; probe: "builtin"; },
     { name: "anyprot"; host: "localhost"; port: "443"; probe: "builtin"; }
);

# vim:set ts=4 sw=4 et:

/usr/lib/systemd/system/sslh.service

[Unit]
Description=SSL/SSH multiplexer (socket mode)
Conflicts=sslh-fork.service sslh-select.service
Requires=sslh.socket
PartOf=sslh.socket

[Service]
ExecStart=/usr/bin/sslh --config --foreground
KillMode=process
ProtectSystem=strict
ProtectHome=true
ProtectKernelModules=true
ProtectKernelTunables=true
ProtectControlGroups=true
PrivateTmp=true
PrivateDevices=true
SecureBits=noroot-locked
MountFlags=private
NoNewPrivileges=true
CapabilityBoundingSet=CAP_SETGID CAP_SETUID CAP_NET_BIND_SERVICE
AmbientCapabilities=CAP_NET_BIND_SERVICE
RestrictAddressFamilies=AF_INET AF_INET6 AF_UNIX
MemoryDenyWriteExecute=true
User=sslh
DynamicUser=true

sudo systemctl daemon-relod und sudo systemctl start sslh.service, sowie sudo systemctl enable sslh.service

Nginx umkonfigurieren

Nachdem mein Nginx standardmäßig auf dem 443 Port lauscht, muss hier einiges verändert werden: /etc/ngins/sites-enabled/site-xyz.conf

    server {
        listen 80;
        listen [::]:80;
        server_name domain.com;
        return 301 https://domain.com$request_uri;
    }

    server {
        listen 127.0.0.1:443 ssl; #http2;
        listen [::1]:443 ssl; #http2;
        server_name domain.com;
        server_tokens off;
    ...
    }

Externe IP-Adresse an den Server weitergeben (transparent mode)

/etc/sslh/iptables.sh

!/bin/bash

# Set route_localnet = 1 on all interfaces so that ssl can use "localhost" as destination
sysctl -w net.ipv4.conf.default.route_localnet=1
sysctl -w net.ipv4.conf.all.route_localnet=1

# DROP martian packets as they would have been if route_localnet was zero
# Note: packets not leaving the server aren't affected by this, thus sslh will still work
iptables -t raw -A PREROUTING ! -i lo -d 127.0.0.0/8 -j DROP
iptables -t mangle -A POSTROUTING ! -o lo -s 127.0.0.0/8 -j DROP

# Mark all connections made by ssl for special treatment (here sslh is run as user "sslh")
iptables -t nat -A OUTPUT -m owner --uid-owner sslh -p tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CONNMARK --set-xmark 0x01/0x0f

# Outgoing packets that should go to sslh instead have to be rerouted, so mark them accordingly (copying over the connection mark)
iptables -t mangle -A OUTPUT ! -o lo -p tcp -m connmark --mark 0x01/0x0f -j CONNMARK --restore-mark --mask 0x0f

# Configure routing for those marked packets
ip rule add fwmark 0x1 lookup 100
ip route add local 0.0.0.0/0 dev lo table 100

# DROP martian packets as they would have been if route_localnet was zero
# Note: packets not leaving the server aren't affected by this, thus sslh will still work
ip6tables -t raw -A PREROUTING ! -i lo -d ::1/128 -j DROP
ip6tables -t mangle -A POSTROUTING ! -o lo -s ::1/128 -j DROP

# Mark all connections made by ssl for special treatment (here sslh is run as user "sslh")
ip6tables -t nat -A OUTPUT -m owner --uid-owner sslh -p tcp --tcp-flags FIN,SYN,RST,ACK SYN -j CONNMARK --set-xmark 0x01/0x0f

# Outgoing packets that should go to sslh instead have to be rerouted, so mark them accordingly (copying over the connection mark)
ip6tables -t mangle -A OUTPUT ! -o lo -p tcp -m connmark --mark 0x01/0x0f -j CONNMARK --restore-mark --mask 0x0f

# Configure routing for those marked packets
ip -6 rule add fwmark 0x1 lookup 100
ip -6 route add local ::/0 dev lo table 100

/usr/lib/systemd/system/sslh-iptables.service

[Unit]
Description=iptables for transparent proxy
After=network.target

[Service]
ExecStart=/etc/sslh/iptables.sh

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-relod und sudo systemctl start sslh-iptables.service, sowie sudo systemctl enable sslh-iptables.service

Quellen

Previous Post