URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID12
Нить номер: 6352
[ Назад ]
Исходное сообщение
"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 26-Мрт-10 15:04 
как спрятатса от провайдера ISP?
чтобы он не видел что у меня стоит
чтобы он видел один комп и невидел всего хозяйства (hakintosh (+ пара виртуалок), iphone, win xp, и еже win xp ну и сам сервер под винроут)
и в инете не оставлять лишние следы (вариант с чужим прокси не подходит)

если где ошибся или что не точно написал поправьте

1 чем затирать/изменять http заголовки via (броузер ну и тд)
1,1 комп выдает еще расширение экрана это тут же решаетса?
нашел сам
   // в squid это седелать можно
   // в старых версиях  anonymize_headers и fake_user_agent
   // в новых версииях header_access header_replace эти канды
   // имеют больше возможностей а какие незнаю пока)

2 чем сделать одинаковый TTL на выходе
2,1 этим же боротса с ttl=1 который может прийти от провайдера?
нашел сам
   // ядро скомпилено с options IPSTEALTH
   // потребуется также включить её через sysctl
   // Менять TTL умеет пакетный фильтр pf - man pf.conf на предмет scrub, min-ttl.
   // http://www.opennet.me/openforum/vsluhforumID1/64869.html
   // http://forum.lissyara.su/viewtopic.php?f=3&t=21150

3 чем настроить NAT
нашел сам
   // http://ru.wikibooks.org/wiki/п÷п╬я─я┌/NAT
   // NAT автоматически делает порты вашей машины недоступными
   // из Интернета для прямого входящего соединения.
   типа такого правила # nat on $ext_if inet from $lannet to any -> $ext_ip

4 чем настроить firewall
нашел сам
   // // http://ru.wikipedia.org/wiki/п°п╣п╤я│п╣я┌п╣п╡п╬п╧_я█п╨я─п╟п╫
   // Обычно файервол - это программа, работающая на вашем компьютере.
   // По умолчанию файервол запрещает любые подключения к вашему компьютеру из сети.
   # pf_enable="YES" # поддержка файрвола

5 чем есть ли возможно повысить приоритет пакета (чтобы он вне очереди по сети бежал)

6 чем спрятать ISN (Initial Sequence Number)
нашел сам
   // http://www.insidepro.com/kk/219/219r.shtml
   // ISN - это начальный номер последовательности (Initial Sequence Number),
   //  уникальный для каждого TCP/IP соединения. С момента установки
   // соединения номера последовательности планомерно увеличиваются
   // на количество принятых/отправленных байт.
   //При установлении нового соединения, взводится флаг SYN.
   //Поле номера последовательности (sequence number field)
   //содержит исходный номер последовательности
   //(ISN - initial sequence number), который выбирается
   //хостом для данного соединения. Номер последовательности
   //первого байта данных, который посылается этим
   //хостом, будет равен ISN плюс один, потому что
   //флаг SYN занимает собой номер последовательности.
   // http://dnews.itdevelop.ru/index.php?option=com_content&task=...
   // http://www.lissyara.su/articles/openbsd/pf/office_config/
   // http://daemon.opennet.ru/docs.php?subaction=showfull&id=1090...
   # // решается это в PF командой modulate
   # modulate -- это почти тот же keep с тем отличием, что
   # при установлении соединения будут сгенерированы
   # высококачественные Initial Sequence Number, которые
   # труднее угадать, соответственно труднее перехватить сессию.

7 чем можно изменять номера последовательности ICMP для (Echo/Echo Reply, Timestamp/Timestamp Reply, Information Request/Information Reply)
нашел сам
   // решается в Squid или в PF немогу понять
   // --enable-icmp     измерять путь до каждого HTTP-сервера при запросах с помощью ICMP
   // подробно расписано что это такое http://dnews.itdevelop.ru/index.php?option=com_content&task=...

8 чем менять Порты источника для TCP/UDP протоколов для NAT, как правило используется некий фиксированный диапазон
   // тут пожно посмотреть как это выглядет
   // Адреса. Всего три поля: адрес и порт источника (разделенные запятой),
   // ->, адрес и порт назначения. 209.53.17.22,80 -> 198.73.220.17,1722.
   // Порт источника (SOURS PORT) занимает 2 байта, идентифицирует процесс-отправитель;
   // Порт назначения (DESTINATION PORT) занимает 2 байта, идентифицирует процесс-получатель;

есть ли вариан по mac адресу за роутером увидеть машину или другим способом

чем то это черевато какимито побочными эффектами н тп?
предпочтение отдам PF и сугубо только под Фрями

есть ли какието варианты кроме этого вычислить количество компов у меня если это все настроить с 1-8 пунк прямые факты еще есть?

факты не катят типа того что могут определить по 2-ва потока аудио слушать, в это время 2-онлайн игры, 3 аськи - такие примеры ненадо приводить и пример типа у меня все на виртуаьной машине это все работает повторюсь это не катит

и чем можно снифить эти варианты с 1-8 пунк понятно что не для пунктов 3 и 4

можно кратко пункт и чем решаетса этот вопрос я тут написал ответы те которые нашел сам

мне понравилась статья но она про винду и как закрыватса
http://www.xakep.ru/post/29448/default.asp
тут можно посмотреть часть того что светится в нете о вашей машине (да конешно есть и другие ресурсы)
http://sysoev.ru/web/anonymous.html
http://leader.ru/secure/who.html

Спасибо всем кто напишет конкретно
а не сопли размазывать по столу будет

Содержание
Сообщения в этом обсуждении
"как спрятатса от ISP провайдера и врагов в нете"
Отправлено Michael , 26-Мрт-10 15:37 
>[оверквотинг удален]
>
>есть ли вариан по mac адресу за роутером увидеть машину или другим
>способом
>
>чем то это черевато какимито побочными эффектами н тп?
>предпочтение отдам PF и сугубо только под Фрями
>
>есть ли какието варианты кроме этого вычислить количество компов у меня если
>это все настроить с 1-8 пунк прямые факты еще есть?
>

круто. можно поинтересоваться, для чего такая секьюрность?

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено sage444 , 26-Мрт-10 20:04 
1. если пров сядет анализировать ваш трафик то ничего вы не спрячете (при условии что пров не дурак))))
2. вам придется отказаться от скриптов, аплетов и флеша так как они дают возможность вытянуть из браузера инфу о вашей системе и следовательно передать ее по подконтрольному для провайдера каналу.
но если просто поиграться в безопасность то пожалуйста,

да и мне тоже интересно как/когда и главное для чего вы стали параноиком

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 26-Мрт-10 20:27 
>да и мне тоже интересно как/когда и главное для чего вы стали параноиком

"БОЛЬШОЙ БРАТ" ЗА НАМИ ВСЕМИ СЛЕДИТ))))))
как в том фильме с мелом гипсоном как но называлса "Теория Заговора" или что-то такое

а простите можно поподробнее про (скрипты аплеты и флеш)
раскройте тему

мне интиресно решить для себя такую задачю
да и провайдеру надо взять и тратить время на это и тоже думаю что им ковырятса в дампах не сильно надо и в результате получить ответ что я програмист и я работаю на виртуалке на одном компе
я согласен что выгоднее заплатить <1 евро за доп комп (если они в з@#$пу полезут или поменять прова) чем тратить время на решение такой задачи

так скажем для меня это "прокачять героя добавить экспиренс сибе":)))))

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено sage444 , 26-Мрт-10 20:39 
насчет большого брата
у прова есть соответствие время-ір-фамилия больше ничего и не нужно брату;)))

>а простите можно поподробнее про (скрипты аплеты и флеш)
>раскройте тему
>

один мой знакомый задал вопрос:
почему он используя крутой_проплаченый_криптованый_ВПН заходит на сайт
и его реальный ІР светит почти на всех тестах)))
а как получить инфу из браузера поищите в гугле, тема не новая

да, и надо бы в голове разделить все что вы выложили в первом посте по уровнях osi, так для более ясного понимания

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 26-Мрт-10 20:48 
>да, и надо бы в голове разделить все что вы выложили в первом посте по уровнях osi, так для более ясного понимания

да вот бы кто помог бы разложить по полочкам
был бы признателен

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 26-Мрт-10 20:49 
тема обширная и затрагивает ни все что написано в первом посте
"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 28-Мрт-10 01:27 
>5 чем есть ли возможно повысить приоритет пакета (чтобы он вне очереди
>по сети бежал)

я так понимаю что этими тэгами в Squid

TAG: tcp_outgoing_tos

#     TOS/DSCP значения, являются локальной подписью - поэтому вы должны знать, 
#     что вы делаете. Для более подробной информации смотри RFC2474 и RFC3260
#
#     TOS/DSCP устанавливается в байтах.Поэтому это должно быть число из 
#"     диапазона 0-255 или введите значение ""default"", чтобы использовать "
#     значения по умолчанию. На практике используются значения в диапазоне 0-63. 
#     Для более подробной информации смотри RFC3168.
#
#     Примечание: Использование этого тэга с применением ACL невозможно, если 
#                           сервер использует persistent(нет нормального, понятного, 
#                           русского аналога) соединения. Для того, чтобы быть увереным в 
#                           правильной работе этого тэга, вам следует установить значение 
#                           тэга server_persistent_connections в off.


TAG: zph_mode
TAG: zph_local
TAG: zph_sibling
TAG: zph_parent
TAG: zph_option

#  TAG: zph_mode
#    This option enables packet level marking of HIT/MISS responses,
#    either using IP TOS or socket priority.
#        off        Feature disabled
#        tos        Set the IP TOS/Diffserv field
#        priority    Set the socket priority (may get mapped to TOS by OS,
#            otherwise only usable in local rulesets)
#        option    Embed the mark in an IP option field. See also
#                zph_option.
#
#    See also tcp_outgoing_tos for details/requirements about TOS usage.
#
#Default:
# zph_mode off

#  TAG: zph_local
#    Allows you to select a TOS/Diffserv/Priority value to mark local hits.
#    Default: 0 (disabled).
#
#Default:
# zph_local 0

#  TAG: zph_sibling
#    Allows you to select a TOS/Diffserv/Priority value to mark sibling hits.
#    Default: 0 (disabled).
#
#Default:
# zph_sibling 0

#  TAG: zph_parent
#    Allows you to select a TOS/Diffserv/Priority value to mark parent hits.
#    Default: 0 (disabled).
#
#Default:
# zph_parent 0

#  TAG: zph_option
#    The IP option to use when zph_mode is set to "option". Defaults to
#    136 which is officially registered as "SATNET Stream ID".
#
#Default:
# zph_option 136

"как спрятатса от ISP провайдера и врагов в нете"
Отправлено dotignore , 28-Мрт-10 07:42 
>1 чем затирать/изменять http заголовки via (броузер ну и тд)
>1,1 комп выдает еще расширение экрана это тут же решаетса?
>нашел сам
>   // в squid это седелать можно
>   // в старых версиях  anonymize_headers и fake_user_agent
>   // в новых версииях header_access header_replace эти канды
>   // имеют больше возможностей а какие незнаю пока)

это трындык
нигде ненаписоно (рыл рыл рыл в нете) что ее в конце списка писать надо эту директиву TAG: header_access
пока не додумался
а не попробовать ли мне в конце написать и тут вуала чудо работает))) ура

squid.conf header_access Form deny all
ошибка была такая

2009/08/03 14:39:45| ACL name 'all' not defined!
FATAL: Bungled squid.conf line 123: http_access From deny all
Squid Cache (Version 2.7.STABLE6): Terminated abnormally.

убрал all
squid.conf header_access Form deny
ошибка была такая

2005/01/12 13:09:58| squid.conf line 123: http_access deny Form deny
2005/01/12 13:09:58| aclParseAccessLine: Access line contains no ACL's, skipping

Access line contains no ACL's, skipping  
строка не содержит ACL и пропускаетса

я конешно догадывался что что несрабатывает правило ACL но вот что имено немог понять)))