2011年4月4日星期一

[GFW BLOG（功夫网与翻墙）] 在Android上走出天朝局域网

来源：http://blog.xiping.me/2011/03/break-gfw-on-android.html

天朝的防火长城越来越牛逼了，我常用的一些网站如 Gmail, Goolgle Search，Google Docs 都很难访问。买了Android手机以后，一直在考虑如何访问这些网站。经过一番苦战，终于搞定，把相关经验写下来分享。

文章比较长，比较有价值的内容包括：

  • 第二部分介绍Opera mini，除了能实现访问抽疯的国外网站外，还能提高访问速度。
  • 第三部分主要介绍SSH Tunnel，能解决DNS污染的问题，并可实现浏览器以及其他非浏览器应用的翻墙访问。

我的手机是Huawei C8500, firmware：2.1-update1, kernel： 2.6.29-perf。

第一阶段：不给力的http_proxy和VPN

最早，我尝试用Android自身的HTTP代理方式。网上有不少帖子读在讨论给Android的一个系统设置表增加http_proxy记录来实 现http代理，主要方式包括通过手动使用sqlite3修改data/data /com.google.android.providers.settings/databases/settings.db表，增加 http_proxy代理记录（详细参考此文：Tips: Howto Connect Android Emulator behind proxy），如下所示：

./adb shell sqlite3 /DATA/DATA/com.google.android.providers.settings/DATABASES/settings.db
  "\"INSERT INTO system VALUES(99,'http_proxy',' [host_or_IP]:[port]');\""

但经过验证，至少在我的机器上是不行的。

然后又照着这篇文章（[Android] How to set proxy for android browser），写了一个插件直接设置浏览器代理。这个方法试了试，偶尔能行，偶尔不能行。

后来再尝试VPN，试验了几个VPN供应商提供的试用账户，都没有成功。

第二阶段：翻墙麻利、访问提速的Opera mini

Opera mini 是 老资历的翻墙工具了，但自从前段时间出了Opera中国版的事情以后，官方版本不支持翻墙了，必须自己破解，并搭建一个IP位于国外的中转服务器。中转服 务器其实很简单，只是接收请求，然后用CURL去Opera官方服务器去获取实际内容，再将内容发回。虽然弄一个使用自己的中转服务器的破解版Opera mini比较麻烦，但是搭建起来以后觉得速度相当快。尤其是访问国外几个大站如Google, facebook 和 twitter的移动版，那是相当流畅，远比 Andriod 自带的浏览器流畅。从服务器端Squid代理的日志来看，使用Opera mini访问同一个网页，貌似最终只有一个HTTP请求，图片和JS，CSS等都不用再单独请求了。从日志看，请求数明显减少，网页体积也缩小很多，流量 也省不少。

详细参考：

搭建php版的中转服务器十分简单，就一个PHP文件，内容如下（文件内容参考自opera mini 翻墙大法提供的文件）：

if ($_SERVER['REQUEST_METHOD'] == 'GET') {
        //......
} else {
         $curlInterface = curl_init();
         $headers[] = 'Connection: Keep-Alive';
         $headers[] = 'content-type: application/xml';
         $headers[] = 'User-Agent: Java0';
         curl_setopt_array($curlInterface, array(
                 CURLOPT_URL => 'http://server4.operamini.com',
                 CURLOPT_HTTPHEADER => $headers,
                CURLOPT_POST => 1,
                 CURLOPT_POSTFIELDS => @file_get_contents('php://input'))
     );
        $result = curl_exec($curlInterface);
         curl_close($curlInterface);
         header('Content-Type: application/octet-stream');
         header('Cache-Control: priavte, no-cache');
         echo $result;
}

顺带提一句，在你翻墙以后（前提是使用第三部分介绍的方式或者其他方式实现443/80端口翻墙以后），你可以使用最新的Opera Mobile 10翻 墙。Opera Mobile 10支持手动设置代理，可直接使用国外IP的代理服务器。 Opera Mobile 10 有Android的原生版本，并且不经过Opera的中间服务器代理，你不需要担心安全问题。不过相比较经过中间服务器的Opera mini版本而言，速度慢了不少，且体积庞大，安装完成后有二十几兆大。

有关Opera Mobile 10的代理设置参考这里。

第三阶段：使用SSH Tunnel为所有80/443端口的访问翻墙

但还有一个问题，就是GMS里的一部分应用被墙了，如Gmail，这必须使用能全局代理的代理软件才行。在桌面系统上，有很多工具实现全局代理。其中让系 统以socks5代理协议通过SSH隧道就是一种常用方式。SSH隧道在本地服务器与SSH服务器之间建立起一个加密信道，本地系统数据经过这条隧道传递 给目标服务器。 这种代理方式所有的内容都经过了加密，并会对流量进行适度压缩。其需要的资源也比较少，只要拥有一个ssh账户就可以实现。这篇文章 (A short guide to SSH port forwarding) 对通过SSH做端口转发做了详细介绍。

不过在Android系统上，因为系统本身不支持代理设置，尤其像Huawei C8500这样的手机，在Wifi/3G网络的设置中都不能设置代理，必须要有一种方式将本地数据包转发到SSH隧道的本地端口。因为Android是基 于Linux的，通常我们可以用iptables来实现数据包的转发。有关iptables的内容，可以参阅一下这篇中文指南，了解一些基本知识。

除此以外，使用端口转发的方式，还需要在服务器端建立一个http代理服务器监听SSH隧道的另一端，接收请求并将请求转给目标服务器，并将处理结果再通过隧道传回给手机。常用的http代理服务器有 squid, nigix 等。

一开始我找到的是TransparentProxy， 但这个软件需要手机除了需要支持 iptables外， 内核还需支持 iptables 的 REDIRECT 表。我的手机不支持 redirect，只好作罢。

然后试了试 SSHTunnel，结果没报告错误，但就是访问不了。 因为这个项目是开源的，翻开代码一看，跟TransparentProxy一样，需要 iptables 的 redirect 支持。

尝试了用 connectBot 做动态代理，然后再写了个软件将所有端口的内容转发到这个connectBot。转发通过 iptables 的 DNAT 来实现。不过这样操作起来还是比较麻烦，要开启这两个软件，而且 connectbot 耗电太厉害了，开了一段时间以后，手机发热。

最后，签出 SSHTunnel 的代码，修改成在内核不支持 redirect 的手机上，自动使用 DNAT 实现转发。问题终于搞定。

完成后，向该项目提交了这个patch，该项目已经接受此patch，现在SSHTunnel支持更多的与华为C8500的固件类似的手机了。

SSH Tunnel 项目主页： 详细使用介绍请去该项目的帮助页面。


�����������������������������������������

需要翻墙利器赛风? 请阅读和关注中国数字时代。

推特用户请点击这里免翻墙上推特

请点击这里下载翻墙软件

更多翻墙方法请发电邮(最好用Gmail)到：fanqiang70ma@gmail.com

请阅读和关注中国数字时代、翻墙技术博客GFW BLOG（免翻墙）

请使用Google Reader订阅中国数字时代中文版（http://chinadigitaltimes.net/chinese/feed），阅读最有价值的中文信息；以及GFW BLOG（功夫网与翻墙）http://feeds2.feedburner.com/chinagfwblog，获取最新翻墙工具和翻墙技巧信息。

--
Posted By GFW BLOG 功夫网与翻墙 to GFW BLOG（功夫网与翻墙） at 4/04/2011 06:39:00 PM

--
1、我们的订阅地址：http://feeds2.feedburner.com/chinagfwblog。2、发一封标题为GFW的邮件到fanqiang70ma@gmail.com，就可获取翻墙利器赛风新地址。附《数字时代》赠阅版。3、本站热烈欢迎各位朋友投稿或推荐文章，请发邮件至chinagfwblog[at]gmail.com。
停止订阅，请发邮件到
gfw-blog+unsubscribe@googlegroups.com
发帖者 时间：

没有评论:

发表评论

订阅： 博文评论 (Atom)