学校位于墙外，宿舍宽带上下 100Mbps，如此优势不拿来架代理简直浪费.. 问题在于宿舍网络位于NAT 后面没公网 IP，也没有 UPnP 这类方便的东西。不仅架代理麻烦，开 MC / TR 服务器什么的也很麻烦.. 尤其是在双方都是内网的情况下。

困难

于是做了不少尝试，比如宿舍内通过 VPN 连接自家路由器，然后将数据包通过自家路由器转发到宿舍路由器上，但这样做怎加了额外的延时，且受家里带宽限制。再比如通过 UDP 打洞来实现双方直连..
但是如此一来，要用 UDP 来传送 TCP 内容，就需要自己实现 TCP 的各种功能，还要追踪连接，太过复杂大大超出自己能力水平（太弱了。所以就想着用各种办法偷懒。

绕开难点

上学期做的一个尝试是，用 tun 虚拟网卡，直接转发IP包。如此一来，TCP 全由系统实现，避开了这些复杂的事… （参见《OpenWrt 上使用 Python 操作 TAP/TUN》）最后止步于放假回家，和 Windows 下修改路由表的一些问题（很想具体喷一下但是这就扯远太了）。

前段时间忽然想到，OpenVPN 可使用 UDP 建立连接。如此一来，只要自己先（用少量代码）完成 UDP 打洞，而后的操作就可以全权交由（相当完善的） OpenVPN 处理，工作量、复杂度急剧下降。

具体实现

先简单重复一下 UDP 打洞的具体过程。

在 NAT 后的双方，向一台外网设备发送 UDP 包，让该设备得到双方的外网 IP 和 UDP 端口号；
该外网设备通知双方对方的外网 IP 和端口号；
双方互相向对方的外网端口发送 UDP 包，连接建立；
完成，通过该连接通讯。

实际使用时可能会受到一些限制，宿舍网络不存在此问题不再累述。

OpenVPN 服务器

首先，在宿舍内架 OpenVPN。我在 Cubieboard 上的 Ubuntu 架的，就按通常设置就行。
UDP 打洞要求在客户端连接前，服务器发送一个 UDP 包到客户端，且必须从 OpenVPN 监听端口上发出。为了在发送时不中断 openvpnd，我用了 pylibnet 跳过系统 socket API 直接发送该包。代码如下：

#!/usr/bin/env python
#encoding: utf-8
import libnet
from libnet.constants import RAW4, RESOLVE, IPV4_H, UDP_H, IPPROTO_UDP


IFACE = 'wlan2'  # Sending via the interface.

def sendto(sport, address):
    l = libnet.context(RAW4, IFACE)
    dest_ip = l.name2addr4(address[0], RESOLVE)
    l.build_udp(sp=sport, dp=address[1],
            payload='\x00hehe'

    l.autobuild_ipv4(len=(IPV4_H + UDP_H),
            prot=IPPROTO_UDP, dst=dest_ip)

    l.write()


if __name__ == '__main__':
    sendto(6000, ('vpn.sorz.org', 6001))

view raw sendudp.py hosted with

by GitHub

这段代码（ovpn-snatd.py）用于告知 VPS，OpenVPN 服务器的地址端口。同时接收由 VPS 转发的客户端地址端口信息：

#!/usr/bin/env python
import socket

import sendudp


SNAT_BIND_PORT = 6001
SNAT_SERVER = ('sorz.org', 6002)
OPENVPN_BIND_PORT = 1194

def main():
    sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    sock.bind(('', SNAT_BIND_PORT))
    sock.settimeout(20)

    while True:
        sock.sendto('\x00', SNAT_SERVER)
        try:
            sock.recv(1024)  # Ignore ping response
            data = sock.recv(1024)  # Receiving users' connection request.
        except socket.timeout:
            continue
        if data[0] != '\x03':
            continue

        print('a new connection from ' + data[1:])
        client = data[1:].split(':')
        sendudp.sendto(OPENVPN_BIND_PORT, (client[0], int(client[1])))


if __name__ == '__main__':
    main()

view raw snatd.py hosted with

by GitHub

（由于宿舍外网端口号实际上不改变，所以偷懒直接写代码里了，下同）

VPS 转发数据协助建立连接

然后，让 VPS 帮助传递端口双方外网端口地址，总共四段代码：

#!/usr/bin/python
import socket

s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.bind(('0.0.0.0', 6000))


while True:
    data, addr = s.recvfrom(1024)
    s.sendto(str(addr[1]), addr)

view raw getportd.py hosted with

by GitHub

↑ 让用户得到自己的 OpenVPN 客户端对应的外网端口。

# (...)

SNAT_SERVER_PORT = 6002

@app.route('/ovpn/connect')
def movpn_openvpn():
    server = get_memcache().get('movpn.openvpn.server')
    if not server:
        return 'Server is not running.', 404
    addr = request.remote_addr
    if addr.startswith('::ffff:'):
        addr = addr[7:]
    port = request.args.get('port', 1194)

    s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    s.sendto('\x02%s:%s' % (addr, port), ('localhost', SNAT_SERVER_PORT))

    return server

# (...)

view raw views.py hosted with

by GitHub

↑ 这是 flask 的代码片段。通过 HTTP，将用户的外网地址端口发给下面的ovpn-snatd.py，同时返回给用户 OpenVPN 服务器的外网地址端口（为了方便，通过 memcache 读取）。

#!/usr/bin/env python
import memcache

SNAT_SERVER_PORT = 6002  # local listening
OPENVPN_BIND_PORT = 1194

s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.bind(('0.0.0.0', SNAT_SERVER_PORT))

mc = memcache.Client(['127.0.0.1:11211'])
server = mc.get('movpn.openvpn.server')
if server:
    server = (server.split(':')[0], OPENVPN_BIND_PORT)

while True:
    data, addr = s.recvfrom(1024)
    if data[0] == '\x00':  # From openvpn server
        if addr != server:
            server = addr
            mc.set('movpn.openvpn.server', '%s:%s' % (server[0], OPENVPN_BIND_PORT))
        s.sendto('\x01', addr)

    elif data[0] == '\x02':  # From local web server (user's conn request)
        if addr[0] != '127.0.0.1':
            print('\x02 != localhost')
            continue
        print('new connect from ' + data[1:])
        s.sendto('\x03%s' % data[1:], server)

    else:
        print('unknown')

view raw vps-snatd.py hosted with

by GitHub

↑ 将 flask 发来的用户地址端口信息，继续转发给 OpenVPN 服务器。也将后者的地址端口信息，储存至 memcache，方便 flask 读取。

OpenVPN 客户端请求连接

用户启动 OpenVPN 前，先随机生成一个 UDP 端口，通过getported.py取得该端口对应的外网端口。然后通过 HTTP 将端口号传递给view.py，同时取得服务器地址。最后释放该 UDP 端口，让给 OpenVPN ，由它建立连接。代码如下：

#!/usr/bin/env python
import random
import logging
import subprocess
import time
import socket

import requests


NAT_REQUEST_URL = 'https://vpn.sorz.org/ovpn/connect?port=%s'
SNAT_SERVER = ('vpn.sorz.org', 6000)


def get_default_param():
    return ['bin\openvpn.exe',
            '--client',
            '--bind',
            '--local', '0.0.0.0',
            '--proto', 'udp',
            '--dev', 'tun',
            '--resolv-retry', 'infinite',
            '--persist-key',
            '--persist-tun',
            '--ca', 'ca.crt',
            '--cert', 'testclient.crt',
            '--key', 'testclient.key',
            '--ns-cert-type', 'server',
            '--keepalive', '20', '60',
            '--comp-lzo',
            '--verb', '3',
            '--mute', '20',
            '--script-security', '2', 'system'
            ]


def main():
    logging.basicConfig(level=logging.DEBUG,
                        format='%(asctime)s %(levelname)-8s %(message)s',
                        datefmt='%Y-%m-%d %H:%M:%S', filemode='a+')

    logging.info('Version 0.2a1')
    port = random.randint(8192, 65535)
    logging.info('Use random port %s.' % port)
    sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    sock.bind(('0.0.0.0', port))
    sock.settimeout(3)
    nat_port = None
    for i in range(5):
        try:
            sock.sendto('orz', SNAT_SERVER)
            nat_port = int(str(sock.recv(256)))
        except socket.timeout:
            logging.warn('Timeout, retry getting NAT port.')
            continue
        except ValueError:
            logging.warn('Illegal value, retry getting NAT port.')
            continue
    sock.shutdown(socket.SHUT_RDWR)
    sock.close()
    if nat_port is None:
        logging.error("Can't get NAT port. Using local bind port.")
        nat_port = port
    logging.info('NAT Port is %s.' % nat_port)

    r = requests.get(NAT_REQUEST_URL % nat_port)
    if r.status_code == 404:
        logging.error('Server is offline.')
        return
    server = r.text.strip()
    logging.info('Server address is %s.' % server)

    logging.info('Waiting 2 seconds...')
    time.sleep(2)
    openvpn = get_default_param()
    openvpn.extend(['--remote'] + server.split(':'))
    openvpn.extend(('--lport', str(port)))
    logging.info('Calling openvpn')
    subprocess.call(openvpn)


if __name__ == '__main__':
    main()

view raw openvpn-client.py hosted with

by GitHub

用户使用起来还是很方便的。给 Windows 用的话用可用 py2exe 打包，然后将 OpenVPN 客户端放在bin\ 。连接前只要安装 Tun/tap 驱动就行了。Linux 下把bin\openvpn.exe改成openvpn即可。在 Windows 7 和 Ubuntu 下测试过没问题。

问题

受 NAT 的具体实现方式限制，部分网络无法使用（在拜托 @ipchihin同学用宿舍网络测试时，就遇到了这种情况）；
某墙对 OpenVPN 的政策有时十分严格，甚至有报告因此被封 IP 的（1, 2, 3）。很难想像整个宿舍网络从此无法与国内联系的情形；
连接不便。Windows 需安装 Tun/tap 驱动，Android 和 iOS 需要 root / 越狱。在连接层实现，提供 Socks 5 / HTTP 代理才是王道啊！

另外，因为只是一次尝试并未正式投入实用，所以通信时并未做认证和加密。为避免安全隐患，代码发布前经过少量修改，但修改后未经实际测试。

from https://blog.sorz.org/p/openvpn-traversal/

人生在世，看得透，又看得远者prevail everywhere. v.gd/YLHADG v.gd/sRm3tA

Pages

Thursday, 25 February 2016

用 OpenVPN 实现双方 NAT 内 VPN 连接的尝试

困难

绕开难点

具体实现

OpenVPN 服务器

VPS 转发数据协助建立连接

OpenVPN 客户端请求连接

问题

	#!/usr/bin/env python
	#encoding: utf-8
	import libnet
	from libnet.constants import RAW4, RESOLVE, IPV4_H, UDP_H, IPPROTO_UDP


	IFACE = 'wlan2' # Sending via the interface.

	def sendto(sport, address):
	l = libnet.context(RAW4, IFACE)
	dest_ip = l.name2addr4(address[0], RESOLVE)
	l.build_udp(sp=sport, dp=address[1],
	payload='\x00hehe'

	l.autobuild_ipv4(len=(IPV4_H + UDP_H),
	prot=IPPROTO_UDP, dst=dest_ip)

	l.write()


	if __name__ == '__main__':
	sendto(6000, ('vpn.sorz.org', 6001))

	#!/usr/bin/env python
	import socket

	import sendudp


	SNAT_BIND_PORT = 6001
	SNAT_SERVER = ('sorz.org', 6002)
	OPENVPN_BIND_PORT = 1194

	def main():
	sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
	sock.bind(('', SNAT_BIND_PORT))
	sock.settimeout(20)

	while True:
	sock.sendto('\x00', SNAT_SERVER)
	try:
	sock.recv(1024) # Ignore ping response
	data = sock.recv(1024) # Receiving users' connection request.
	except socket.timeout:
	continue
	if data[0] != '\x03':
	continue

	print('a new connection from ' + data[1:])
	client = data[1:].split(':')
	sendudp.sendto(OPENVPN_BIND_PORT, (client[0], int(client[1])))


	if __name__ == '__main__':
	main()

	#!/usr/bin/python
	import socket

	s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
	s.bind(('0.0.0.0', 6000))


	while True:
	data, addr = s.recvfrom(1024)
	s.sendto(str(addr[1]), addr)

	# (...)

	SNAT_SERVER_PORT = 6002

	@app.route('/ovpn/connect')
	def movpn_openvpn():
	server = get_memcache().get('movpn.openvpn.server')
	if not server:
	return 'Server is not running.', 404
	addr = request.remote_addr
	if addr.startswith('::ffff:'):
	addr = addr[7:]
	port = request.args.get('port', 1194)

	s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
	s.sendto('\x02%s:%s' % (addr, port), ('localhost', SNAT_SERVER_PORT))

	return server

	# (...)

	#!/usr/bin/env python
	import memcache

	SNAT_SERVER_PORT = 6002 # local listening
	OPENVPN_BIND_PORT = 1194

	s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
	s.bind(('0.0.0.0', SNAT_SERVER_PORT))

	mc = memcache.Client(['127.0.0.1:11211'])
	server = mc.get('movpn.openvpn.server')
	if server:
	server = (server.split(':')[0], OPENVPN_BIND_PORT)

	while True:
	data, addr = s.recvfrom(1024)
	if data[0] == '\x00': # From openvpn server
	if addr != server:
	server = addr
	mc.set('movpn.openvpn.server', '%s:%s' % (server[0], OPENVPN_BIND_PORT))
	s.sendto('\x01', addr)

	elif data[0] == '\x02': # From local web server (user's conn request)
	if addr[0] != '127.0.0.1':
	print('\x02 != localhost')
	continue
	print('new connect from ' + data[1:])
	s.sendto('\x03%s' % data[1:], server)

	else:
	print('unknown')

	#!/usr/bin/env python
	import random
	import logging
	import subprocess
	import time
	import socket

	import requests


	NAT_REQUEST_URL = 'https://vpn.sorz.org/ovpn/connect?port=%s'
	SNAT_SERVER = ('vpn.sorz.org', 6000)


	def get_default_param():
	return ['bin\openvpn.exe',
	'--client',
	'--bind',
	'--local', '0.0.0.0',
	'--proto', 'udp',
	'--dev', 'tun',
	'--resolv-retry', 'infinite',
	'--persist-key',
	'--persist-tun',
	'--ca', 'ca.crt',
	'--cert', 'testclient.crt',
	'--key', 'testclient.key',
	'--ns-cert-type', 'server',
	'--keepalive', '20', '60',
	'--comp-lzo',
	'--verb', '3',
	'--mute', '20',
	'--script-security', '2', 'system'
	]


	def main():
	logging.basicConfig(level=logging.DEBUG,
	format='%(asctime)s %(levelname)-8s %(message)s',
	datefmt='%Y-%m-%d %H:%M:%S', filemode='a+')

	logging.info('Version 0.2a1')
	port = random.randint(8192, 65535)
	logging.info('Use random port %s.' % port)
	sock = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
	sock.bind(('0.0.0.0', port))
	sock.settimeout(3)
	nat_port = None
	for i in range(5):
	try:
	sock.sendto('orz', SNAT_SERVER)
	nat_port = int(str(sock.recv(256)))
	except socket.timeout:
	logging.warn('Timeout, retry getting NAT port.')
	continue
	except ValueError:
	logging.warn('Illegal value, retry getting NAT port.')
	continue
	sock.shutdown(socket.SHUT_RDWR)
	sock.close()
	if nat_port is None:
	logging.error("Can't get NAT port. Using local bind port.")
	nat_port = port
	logging.info('NAT Port is %s.' % nat_port)

	r = requests.get(NAT_REQUEST_URL % nat_port)
	if r.status_code == 404:
	logging.error('Server is offline.')
	return
	server = r.text.strip()
	logging.info('Server address is %s.' % server)

	logging.info('Waiting 2 seconds...')
	time.sleep(2)
	openvpn = get_default_param()
	openvpn.extend(['--remote'] + server.split(':'))
	openvpn.extend(('--lport', str(port)))
	logging.info('Calling openvpn')
	subprocess.call(openvpn)


	if __name__ == '__main__':
	main()