linux скрипт сокет прокси usb модем

linux скрипт сокет прокси usb модем

Linux: сокет-прокси через USB-модем — технический гайд

linux скрипт сокет прокси usb модем — это не просто набор команд в терминале. Это способ построить защищённый, изолированный канал связи, когда ваш единственный выход в интернет — мобильный модем, подключённый по USB к машине под управлением Linux. Такая конфигурация часто встречается у полевых инженеров, журналистов в регионах с нестабильной сетью или у тех, кто сознательно отказывается от домашнего проводного подключения из соображений операционной безопасности.

Когда обычный VPN не спасает, а нужен именно сокет-прокси

Представь ситуацию: ты в командировке в небольшом городе России. Домашний Wi-Fi недоступен, а общественные сети кафе блокируют торрент-трафик и мессенджеры. У тебя есть только USB-модем от МТС или Билайна. Ты поднимаешь OpenVPN — и всё работает. Но на следующий день модем самопроизвольно переподключается, IP меняется, а твой туннель рушится. При этом фоновые приложения (облачные синхронизаторы, обновления ОС) начинают слать данные напрямую через новый IP-адрес провайдера. Это классическая утечка, которую не ловит стандартный kill switch, потому что он привязан к интерфейсу tun0, а не к физическому wwan0.

Именно здесь на сцену выходит подход «сокет-прокси». Вместо того чтобы маршрутизировать весь трафик через виртуальный интерфейс, ты заставляешь конкретные приложения (браузер, торрент-клиент, мессенджер) открывать сетевые соединения только через локальный прокси-сервер (например, socat или redsocks). Этот прокси, в свою очередь, шифрует трафик и отправляет его через твой основной VPN-туннель. Даже если основное соединение с модемом оборвётся, приложения просто не смогут создать сокет — они будут ждать ответа от прокси, который молчит. Никаких утечек.

Чего вам НЕ говорят в других гайдах

Большинство руководств в русскоязычном сегменте заканчиваются на строке sudo openvpn --config my.conf. Это опасно. Вот что умалчивают:

1. Free VPN = Твой трафик на продажу. Бесплатные сервисы типа Hola или «анонимайзеров» в AppStore/Google Play часто работают по принципу P2P-прокси. Твой USB-модем может стать точкой выхода для чужого трафика, включая незаконный. В 2019 году исследователи доказали, что Hola продавала доступ к пользователям как ботнет для DDoS-атак.
2. Kill switch — не панацея. Большинство клиентов (даже платных) реализуют kill switch на уровне iptables или Windows Firewall. Он отключает весь интернет при падении туннеля. Но он не защищает от утечек во время коротких переподключений модема (re-registration в сети LTE), которые длятся доли секунды. За это время DNS-запрос может уйти напрямую.
3. Юрисдикция 14 Eyes — реальная угроза. Если твой VPN-провайдер зарегистрирован в США, Великобритании, Канаде и других странах альянса 14 Eyes, он обязан хранить логи и выдавать их по запросу спецслужб. Даже при наличии политики no-log, суд может обязать компанию начать логирование задним числом для конкретного пользователя.
4. WebRTC и IPv6 — главные предатели. Даже при идеальном VPN-туннеле браузер через WebRTC API может раскрыть твой реальный локальный IP-адрес (тот, что выдал модем). А если у провайдера (например, Ростелеком) включена раздача IPv6, трафик может уходить параллельно по IPv6-маршруту, минуя IPv4-туннель.
5. Поддельные аудиты. Некоторые провайдеры публикуют «аудиты безопасности», проведённые их же дочерними компаниями. Ищи независимые отчёты от Cure53, Quarkslab или SEC Consult. Если их нет — считай, что аудита не было.

Архитектура решения: от USB до зашифрованного сокета

Разберём стек технологий шаг за шагом. Наша цель — изолировать приложения от прямого доступа к интерфейсу wwan0.

1. USB-модем и wwan0. Модем определяется ядром Linux как cdc_ether или qmi_wwan устройство. Через ModemManager или wvdial поднимается PPP/LTE-соединение, создаётся интерфейс wwan0 с публичным IP от оператора.
2. Основной VPN-туннель. На этом этапе мы поднимаем надёжный VPN поверх wwan0. Лучший выбор — WireGuard из-за его простоты, скорости и минимального кода (меньше уязвимостей). Конфигурация .conf файла должна включать:
   • PersistentKeepalive = 25 — чтобы NAT на стороне оператора не «забывал» наш туннель.
   • MTU = 1380 — стандартное значение для LTE, чтобы избежать фрагментации пакетов.
3. Локальный сокет-прокси. Здесь в игру вступает redsocks или socat. Они слушают на 127.0.0.1:1080 (SOCKS5) или 127.0.0.1:8080 (HTTP). Вся их задача — перехватывать трафик от приложений и перенаправлять его в зашифрованный туннель.
4. Привязка приложений. Для каждого приложения (qBittorrent, Telegram Desktop, Firefox) в настройках указываем использовать SOCKS5-прокси на 127.0.0.1:1080. Это гарантирует, что даже если wwan0 жив, приложение не сможет ничего отправить без участия нашего прокси.

Пример конфигурации redsocks

base {
    log_debug = off;
    log_info = on;
    log = "file:/var/log/redsocks.log";
    daemon = on;
    redirector = iptables;
}

redsocks {
    local_ip = 127.0.0.1;
    local_port = 1080;
    ip = 10.66.66.1; # IP адрес шлюза в WireGuard туннеле
    port = 1080;     # Порт, на котором слушает dante-server или другой socks на удалённой стороне
    type = socks5;
}

Да, для этого решения нужен свой удалённый сервер (VPS), на котором поднят SOCKS5-прокси (например, dante-server). Это ключевой момент: ты контролируешь всю цепочку.

Сравнение подходов: полноценный VPN против сокет-прокси

Выбор метода зависит от уровня требуемой безопасности и технических навыков.

Практический скрипт: автоматизация подъёма всей связки

Вот базовый bash-скрипт, который можно адаптировать под свои нужды. Он проверяет наличие модема, поднимает соединение, запускает WireGuard и redsocks.

#!/bin/bash
vpn-usb-proxy.sh

LOG_FILE="/var/log/vpn-usb-proxy.log"
MODEM_INTERFACE="wwan0"
WG_CONFIG="/etc/wireguard/wg0.conf"
REDSOCKS_CONFIG="/etc/redsocks.conf"

log() {
    echo "$(date '+%d.%m.%Y %H:%M:%S') - $1" >> "$LOG_FILE"
}

Проверка наличия модема
if ! ip link show "$MODEM_INTERFACE" &>/dev/null; then
    log "Ошибка: Интерфейс $MODEM_INTERFACE не найден. Проверьте подключение USB-модема."
    exit 1
fi

Поднятие PPP/LTE соединения (пример для wvdial)
log "Поднятие соединения через $MODEM_INTERFACE..."
sudo wvdial provider &  # Раскомментируй и настрой под свой модем

Ждём, пока появится IP
while ! ip addr show "$MODEM_INTERFACE" | grep -q 'inet '; do
    sleep 2
done
log "Соединение установлено. IP: $(ip addr show $MODEM_INTERFACE | awk '/inet / {print $2}')"

Запуск WireGuard
log "Запуск WireGuard..."
sudo wg-quick up "$WG_CONFIG"
if [ $? -ne 0 ]; then
    log "Ошибка: Не удалось запустить WireGuard."
    exit 1
fi

Запуск redsocks
log "Запуск redsocks..."
sudo systemctl start redsocks
if [ $? -ne 0 ]; then
    log "Ошибка: Не удалось запустить redsocks."
    sudo wg-quick down "$WG_CONFIG"
    exit 1
fi

log "Система готова. Используйте SOCKS5 прокси на 127.0.0.1:1080"

Не забудь настроить автозапуск этого скрипта при подключении USB-устройства через udev правила.

Диагностика: как убедиться, что всё работает

После настройки обязательно проведи тесты:

1. Проверка IP и DNS: Зайди на ipleak.net. Убедись, что показывается IP твоего VPS, а DNS-серверы — те, что ты настроил в WireGuard (например, 1.1.1.1 или 8.8.8.8).
2. Тест WebRTC: На том же сайте есть раздел WebRTC Leak Test. Он должен показывать только IP твоего VPS, а не локальный IP от модема.
3. Имитация обрыва: Отключи USB-модем на 10 секунд и снова подключи. Повтори тесты. Убедись, что в течение всего времени обрыва ни одно из твоих приложений не отправило пакет напрямую.
4. Мониторинг трафика: Используй iftop -i wwan0. Когда все приложения используют прокси, весь исходящий трафик с wwan0 должен идти только на IP-адрес твоего VPS.

Вывод

linux скрипт сокет прокси usb модем — это не просто хак для энтузиастов, а продуманная архитектура для тех, кто сталкивается с ненадёжными и потенциально опасными сетевыми средами. Она решает фундаментальную проблему: изоляцию критически важного трафика от нестабильного физического канала. В отличие от «коробочных» решений, этот подход даёт полный контроль над каждой точкой цепи передачи данных. Ты сам выбираешь протокол (лучше WireGuard), сам управляешь сервером, сам решаешь, какие приложения получают доступ в интернет. Это максимальная степень информационной безопасности при работе через мобильный интернет в условиях России, где цензура и DPI становятся всё более изощрёнными. Главное — помни, что безопасность — это процесс, а не разовое действие. Регулярно тестируй свою конфигурацию на утечки.

VPN замедляет интернет на сколько реально?

С современными протоколами вроде WireGuard потеря скорости обычно не превышает 5–10%. На гигабитном канале это может быть 50–100 Мбит/с, но на типичном LTE-канале (20–50 Мбит/с от МТС или Мегафона) разница будет почти незаметна — 2–5 Мбит/с. Задержка (пинг) увеличится на величину, равную ping до сервера VPN + 5–10 мс на шифрование.

Меня найдёт спецслужба при использовании VPN?

Если ты используешь коммерческий VPN с юрисдикцией в 14 Eyes и совершаешь противоправные действия, да, могут найти. Провайдер по решению суда обязан предоставить логи. Если же ты используешь собственный VPS в нейтральной юрисдикции (Швейцария, Исландия) и не оставляешь цифровых следов (логинов, платежей), шансы стремятся к нулю. Но абсолютной анонимности не существует.

WireGuard или OpenVPN — что безопаснее?

Оба протокола криптографически надёжны. WireGuard использует современный набор алгоритмов (Curve25519, ChaCha20, Poly1305) и имеет в 100 раз меньше строк кода, что снижает риск уязвимостей. OpenVPN гибче в настройке (поддержка TCP, множество опций шифрования), но его сложность — потенциальный источник ошибок. Для большинства сценариев WireGuard предпочтительнее.

Технологии будущего🤖

Нужно ли отключать IPv6 при использовании VPN?

Да, настоятельно рекомендуется. Многие VPN-клиенты по умолчанию не маршрутизируют IPv6-трафик, и он уходит напрямую через провайдера, раскрывая твой реальный IP. В Linux это делается командой sysctl -w net.ipv6.conf.all.disable_ipv6=1. В настройках роутера тоже стоит отключить раздачу IPv6.

Что такое split tunneling и зачем он нужен?

Split tunneling (раздельное туннелирование) — это когда часть трафика идёт через VPN, а часть — напрямую. Например, торренты и мессенджеры через VPN, а стриминг YouTube — напрямую для экономии трафика на VPS. В нашем сценарии с сокет-прокси split tunneling достигается естественным путём: только проксируемые приложения используют туннель.

Можно ли использовать этот метод для обхода блокировок Роскомнадзора?

Технически — да. Трафик шифруется и выглядит как обычное TLS-соединение к твоему VPS, что затрудняет его блокировку DPI-системами. Однако важно понимать, что организация деятельности, направленной на обход ограничений доступа к запрещённой в РФ информации, может повлечь административную ответственность. Этот гайд носит исключительно образовательный характер и описывает технические возможности.

📖Свобода информации