Posted inNetwork

LinuxでのDante SOCKS5プロキシ構築：6ヶ月間の実戦経験と「血の滲むような」教訓

Network tutorial - IT technology blog
Network tutorial - IT technology blog

なぜVPNやHTTPプロキシではなくSOCKS5を選んだのか？

50人規模のオフィスのインフラ管理に半年間取り組んできた中で、VPNが常に唯一の「解決策」ではないことに気づきました。AWSのダッシュボードにアクセスするために固定IPが必要なだけだったり、ネットワークのファイアウォールを回避したかったりする場合、PC全体の動作を遅くしてまでVPNを使う必要はありません。全トラフィックをVPN経由にすると、MeetやZoomでの会議中にラグが発生し、ストレスの原因になります。

最終的に決める前に、以下の3つの選択肢を検討しました：

  • HTTPプロキシ（Squidなど）： Web閲覧には適していますが、FTP、DNS、または特定のアプリケーションとなるとお手上げです。
  • SSHトンネリング（ssh -D）： 個人利用には非常に便利です。しかし、50人のチーム全員のアクセス制御（ACL）やログ管理を行うのは、まさに悪夢です。
  • SOCKS5プロキシ（Dante）： これが「正解」でした。TCP/UDPの両方に対応し、柔軟なユーザー認証が可能で、送信元・送信先IPごとに詳細な権限設定ができます。

Danteサーバーのメリットとデメリット

メリット

Danteはオープンソース界における安定性の象徴です。特に気に入っているのは、設定の透明性です。「ユーザーAは自宅のIPからのみ接続を許可し、ポート80経由で内部サーバーにのみアクセスできる」といった厳格なルールを定義できます。gostやshadowsocksのようなツールでは、ここまで本格的に管理するのは困難です。

デメリット

正直に言うと、Danteの設定ファイルは初心者には少し威圧的に見えるかもしれません。記述が冗長で、ネットワークインターフェースへの理解が求められます。passの行を一行書き間違えるだけで、チームメンバーから「接続できない」と苦情が殺到するか、あるいはインターネット全体に「無料プロキシ」として公開してしまうリスクがあります。

Ubuntu/DebianでDanteを構築する3ステップ

私の経験上、DebianやUbuntuを使うのが最も無難です。ここでのdante-serverパッケージは非常に安定しています。

ステップ1：クイックインストール

sudo apt update && sudo apt install dante-server -y

ステップ2：ネットワークインターフェースの確認

ip addコマンドを使用して、サーバーがどのインターフェース（通常はeth0やens3）で動作しているかを確認します。どのインターフェースで接続を受け付け、どのインターフェースでインターネットにデータを送り出すかを明確に区別する必要があります。

ステップ3：/etc/danted.conf の「刷新」

混乱を避けるため、既存の内容をすべて削除してから新規作成することをお勧めします。以下は、私が現在本番環境で使用している、Linuxユーザーによる認証を必須とした設定例です。

logoutput: /var/log/danted.log

# すべてのIPに対してポート1080でリッスン
internal: 0.0.0.0 port = 1080

# トラフィックを外部に送り出すインターフェース
external: eth0

socksmethod: username

user.privileged: root
user.unprivileged: proxy

# フェーズ1：クライアントとサーバーのハンドシェイクを許可
client pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    log: connect disconnect error
}

# フェーズ2：ログイン済みトラフィックの外部送出を許可
socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    command: bind connect udpassociate
    log: connect disconnect error
    socksmethod: username
}

注意： 多くの人がclient passの設定を忘れがちで、その結果プロキシが動作しません。Danteでは, プロキシへの接続とデータの転送が切り離されているため、どちらか一方が欠けても機能しません。

ユーザー管理：間違ってもrootを使うな！

プロキシのログインにSSHアカウントをそのまま使わせるのは、セキュリティ上の自殺行為です。私は常に、シェル権限がなく、ホームディレクトリも持たない「ダミー」ユーザーを作成しています。

# プロキシ利用専用のユーザー 'dev_team' を作成
sudo useradd -M -s /usr/sbin/nologin dev_team
sudo passwd dev_team

この方法でサーバーを保護します。万が一プロキシのパスワードが漏洩しても、攻撃者がSSH経由でサーバーを乗っ取ることはできません。

6ヶ月間の運用で得た「血の滲むような」失敗談

  1. 外部IPの変動： サーバーに複数のIPがある場合は、externalの行に具体的なIPを記述してください。インターフェース名だけを指定すると、トラフィックが意図しない経路を通ってしまい、プロキシを使用する目的が損なわれることがあります。
  2. ログによる時限爆弾： log: connect disconnectを有効にすると、ログファイルが毎週数GB単位で肥大化します。ディスク容量不足でサーバーがダウンするのを防ぐために、すぐに`/var/log/danted.log`に対してlogrotateを設定しましょう。
  3. DNSリークの惨劇： SOCKS5はDNSを処理できますが、ブラウザ（Chrome/Firefox）はデフォルトでこれを無視することが多いです。設定画面で「SOCKS v5を使用する際にDNSもプロキシ経由にする」にチェックを入れるよう、チームに周知徹底してください。
  4. 接続制限： ユーザー数が100人を超える場合は、max_connectionsを調整してください。デフォルト値が低すぎると、後から接続しようとしたユーザーが無慈悲に拒否されます。

最終チェック

自分のPCのターミナルを開き、おなじみのcurlコマンドでテストします：

curl -v --socks5-hostname dev_team:password@YOUR_IP:1080 https://ifconfig.me

結果にサーバーのIPが表示されれば成功です。

Danteの運用自体は難しくありませんが、重要なのは権限管理の考え方です。大規模なシステムで運用する場合は、fromとtoのブロックを活用してセキュリティを強固にしましょう。スムーズな導入を祈っています！

Share:
Tags: