使用SSH突破移动WAP网关封锁

espnstarsky

上次说到使用Openvpn通过移动WAP网关来使得电脑上网，现在某些地方的移动网关已经进行了屏蔽，可以想象，现在只是还没有大量的企业应用，一旦有了真正的移动企业应用，比如一直在推广的黑莓，SSL隧道是不可能被完全屏蔽的，下面我要说的是，使用另外一种方法通过移动的WAP网关来使得电脑可以上网，此方法通常被用在安全连接远程局域网应用中，比如，在VNC没有对协议进行加密之前，网络管理员不得不使用SSH端口转发来使得远程连接VNC变得更为安全，这样，VNC的数据传输都是通过SSH转发的，不会有对外暴露VNC端口的危险，那么，很显然，我们可以使用这种方法，将HTTP代理服务器的端口转发到本地，也就是SSH tunnel，移动的WAP网关屏蔽了代理服务请求，但是它不能屏蔽加密协议通过，因为它没有办法知道传输的是什么，要达到上述的目的，需要以下条件：1，一台公网服务器2，公网服务器安装有SSH服务器3，公网服务器安装有代理服务器，squid，tinyproxy等4，居家旅行杀人越货必备软件putty首先，当然是使用putty进行设置，通过移动的WAP网关10.0.0.172:80，然后设置转发端口，例如，在公网服务器上代理服务器的端口是8080，我们想通过SSH隧道把它转发到本地的8080端口，如图所示：设置完成之后，即可登录服务器，如果没有意外发生的话，我们可以在putty的日志中看到如下字样：2008-01-19 12:41:32 Allocated pty (ospeed 38400bps, ispeed 38400bps)2008-01-19 12:41:34 Started a shell/command2008-01-19 12:41:41 Opening forwarded connection to localhost:8080这表示端口已经打开，你可以使用浏览器设置代理服务器为localhost:8080，然后就可以上网浏览啦，网上盛传的多是修改浏览器UA以达到欺骗移动WAP网关从而浏览网页的目的，经过处理，移动WAP网关输出的网页头均带有WML标记，使得浏览器无法正常显示，当然，还可以修改mime type使得浏览器能够正常显示，这对于一般用户来说基本上是很困难的，而使用SSH进行端口转发，也只是极少数网络管理员可以使用的方法，对于大多数人没有意义，这里只是提出一种方法，这种方法被大规模的应用，是在一个不太合适用来表述的环境中，我们说到，加密的协议，是无法被网关识别的，显然，网关知道是一些加密的数据通过，但是网关不可能知道这些数据是什么，也就无从进行屏蔽，这种方法，被广泛应用在XX功的破网软件上，即使是***也不能检测到，因为它不是明文的，我一直在猜测这些个软件的工作原理，大致如下，以工作步骤为序，大家可以探讨：1，使用境外DNS对动态域名进行解析，通过SSL隧道得到若干通知服务器地址，这些通知服务器都是各国动态IP。说明：国内DNS对一些境外网站进行了屏蔽，特别是一些不听话的动态域名服务商，例如较为著名但迅速在国内销声匿迹的no-ip，使用境外DNS能得到准确的地址。2，根据通知服务器返回的地址，得到正在工作的SSL隧道内容服务器地址，这些内容服务器当然也是各国的动态IP。说明：可以屏蔽域名，也可以屏蔽IP，但是不能屏蔽动态IP，不能屏蔽DSL线路上的IP，如果IP地址在这个星球上刚好够用，才能解决这个问题，无论IP地址是缺乏，还是剩余过度，都不可能进行准确的屏蔽，使用SSL隧道是必须的，因为***会直接过滤掉明文的非法内容使得链接断开，也就无法继续下面的通信。3，使用内置的stunnel对内容服务器的ssl隧道转发到本地某个端口，使得浏览器只需打开类似于http://127.0.0.1:1234这样的链接即可浏览内容服务器上的内容。说明：直接调出ssl内容服务器的IP地址带有风险，会使得网监人员的封锁变得有目的性，而普通用户也会困扰于浏览器因为错误的证书弹出的提示，使用stunnel转发，给普通用户一个较为友好的界面，我认为这才是最主要的目的。下面我们讨论一下屏蔽的可能性，在第一步，屏蔽境外DNS是不可行的，当年169工程就是试图建立一个完全国内的网络，不过很快就被证明是失败的，只要在第一步没有办法屏蔽境外DNS对动态域名进行的解析，后面的就没有办法了，屏蔽对特定的动态域名解析是可行的，但是只要不把境外的动态域名服务商都屏蔽掉，这基本上没有太大作用。走向第二步，就没有什么办法可以屏蔽了，全是加密过的IP链接。至此，我实在是想不出来什么办法可以屏蔽这样的一个过程，可以考虑从源头着手，重点屏蔽通知服务器，不过，如果这些通知服务器和内容服务器都是在一起的，互相之间可以通知网络的变化，连成一个随时变化的动态网络，那就没办法了，综上，唯一可以屏蔽的地方就是在使用境外DNS对动态域名进行解析的地方，这是没有经过加密的数据。

treeyan

顶一下。

对俺用处倒不大哦，这里包月流量不分cmnet，cmwap。

tooweng

谢分享。看得有点昏昏，哈

xuhui0910

看得有点昏昏

w1634w

看到的确是有点晕，可能有点用！！！！！！我用的是江苏WAP封顶卡，在江苏南京，用得是很好的，但是回到广东湛江，移动好似就是屏蔽了WAP网关，是能搜索到TD信号，能注册链接，能通过代理上QQ、飞信，让朋友通过QQ上传资源给我下载，速度还是可以的；迅雷设代理下载显示有资源，但是就是不能下载

w1634w

我记得去年，我用诺基亚手机连接电脑WAP设代理上网，使用的是OPERA、遨游、TT，都能浏览网页，但是现在就不能了，OPREA显示的中文意思是要求无法自动链接WAP网关，遨游和TT则是显示403错误，我感觉很无奈

seaxp

成功案例有没有啊~~~~~~~~~~~~