SOCKS5-Proxy-Konfiguration auf OpenWrt/DD-WRT-Routern

Die Konfiguration eines SOCKS5-Proxy auf Router-Ebene mittels OpenWrt- oder DD-WRT-Firmware zentralisiert das Datenschutzmanagement Ihres Netzwerks, indem der gesamte Datenverkehr der verbundenen Geräte durch einen einzigen verschlüsselten Tunnel geleitet wird. Dieses Setup macht die Installation von Software auf jedem einzelnen Gerät überflüssig und ermöglicht es Hardware wie Smart-TVs, Spielekonsolen und IoT-Geräten, von den Hochgeschwindigkeits-Residential- oder Datacenter-IP-Pools von GProxy zu profitieren. Durch den Einsatz von Tools wie redsocks oder shadowsocks-libev können Sie einen Standard-SOCKS5-Handshake in einen transparenten Proxy verwandeln, der TCP- und UDP-Verkehr nahtlos in Ihrem lokalen Netzwerk (LAN) verarbeitet.

Die Architektur von SOCKS5-Proxying auf Router-Ebene

Standard-SOCKS5-Proxys arbeiten auf der Anwendungsschicht, was bedeutet, dass jeder Browser oder jede Anwendung manuell konfiguriert werden muss, um die IP und den Port des Proxys zu verwenden. Wenn diese Logik auf einen Router mit OpenWrt oder DD-WRT verlagert wird, verschiebt sich die Architektur hin zu einem "Transparent Proxy"-Modell. In diesem Szenario fängt der Router ausgehende Pakete auf der Netzwerkschicht ab und leitet sie an einen lokalen Client (wie redsocks) weiter, der die Daten in einen SOCKS5-Header verpackt und an die GProxy-Server weiterleitet.

Dieser Ansatz bietet drei entscheidende Vorteile für Power-User:

• Universelle Kompatibilität: Geräte, die Proxy-Einstellungen nicht nativ unterstützen (z. B. PlayStation 5, Apple TV oder intelligente Kühlschränke), werden automatisch über den GProxy-Server geroutet.
• Zentralisierte Authentifizierung: Anstatt Anmeldedaten auf zwanzig verschiedenen Geräten zu verwalten, verwalten Sie eine einzige Verbindung auf dem Router.
• Umgehung von Verbindungslimits: Viele Dienste begrenzen gleichzeitige Sitzungen pro IP; das Routing über einen GProxy Residential Proxy auf dem Router bietet einen konsistenten Ausgangspunkt für den gesamten Haushalt oder das Büro.

Für Hochleistungs-Routing wird OpenWrt im Allgemeinen gegenüber DD-WRT bevorzugt, da es über den Paketmanager opkg verfügt, der die Installation spezifischer Binärdateien wie redsocks2 oder v2ray-core ermöglicht. DD-WRT ist zwar einsteigerfreundlicher, erfordert jedoch oft die manuelle Skript-Injektion in die Startup-Konfiguration, um dieselben Ergebnisse zu erzielen.

OpenWrt-Konfiguration: Verwendung von Redsocks für transparentes Proxying

OpenWrt enthält in der LuCI-Weboberfläche keinen nativen Schalter für "SOCKS5 zu Transparent Proxy". Um diese Lücke zu schließen, ist redsocks das Standard-Utility der Branche. Es lauscht auf einem lokalen Port und leitet jeglichen empfangenen Datenverkehr an den SOCKS5-Server Ihrer Wahl weiter.

Schritt 1: Installation der notwendigen Pakete

Verbinden Sie sich per SSH mit Ihrem Router und aktualisieren Sie die Paketlisten. Sie benötigen redsocks und iptables-mod-nat-extra (oder entsprechende nftables-Pakete, wenn Sie OpenWrt 22.03 oder neuer verwenden).

# Dies ist eine Darstellung der Shell-Befehle für OpenWrt
opkg update
opkg install redsocks iptables-mod-nat-extra ip-full

Schritt 2: Konfiguration von Redsocks

Die Konfigurationsdatei befindet sich unter /etc/redsocks.conf. Sie müssen den lokalen Listener und die Details des entfernten GProxy-Servers definieren. Unten finden Sie einen produktionsreifen Konfigurationsausschnitt:

# Beispiel /etc/redsocks.conf für GProxy
base {
    log_debug = off;
    log_info = on;
    log = "syslog:daemon";
    daemon = on;
    redirector = iptables;
}

redsocks {
    local_ip = 127.0.0.1;
    local_port = 12345; // Der Port, an dem Ihr Router den Verkehr abfängt
    ip = 45.152.x.x;    // Ihre GProxy Server IP
    port = 1080;        // GProxy SOCKS5 Port
    type = socks5;
    
    // GProxy Authentifizierung
    login = "ihr_benutzername";
    password = "ihr_passwort";
}

Nachdem Sie die Datei bearbeitet haben, aktivieren und starten Sie den Dienst: /etc/init.d/redsocks enable && /etc/init.d/redsocks start.

Schritt 3: Datenverkehr über Iptables leiten

Es reicht nicht aus, redsocks einfach nur auszuführen; Sie müssen dem Kernel des Routers mitteilen, dass er den Verkehr an den oben definierten local_port senden soll. Dies geschieht durch Erstellen einer neuen Chain in der NAT-Tabelle. Es ist wichtig, die IP-Adresse des GProxy-Servers selbst von dieser Umleitung auszuschließen, um eine Endlosschleife beim Routing zu vermeiden.

# Eine neue Chain erstellen
iptables -t nat -N REDSOCKS

# Verkehr zum Proxy-Server selbst nicht umleiten
iptables -t nat -A REDSOCKS -d 45.152.x.x -j RETURN

# Lokalen Netzwerkverkehr (LAN) nicht umleiten
iptables -t nat -A REDSOCKS -d 192.168.1.0/24 -j RETURN

# Gesamten restlichen TCP-Verkehr zum redsocks-Port umleiten
iptables -t nat -A REDSOCKS -p tcp -j REDIRECT --to-ports 12345

# Die Chain auf die PREROUTING-Stufe anwenden
iptables -t nat -A PREROUTING -p tcp -j REDSOCKS

DD-WRT-Konfiguration: Skriptbasierte Implementierung

DD-WRT fehlt die Modularität von OpenWrts opkg, aber die meisten modernen Builds enthalten ss-redir (Teil von Shadowsocks-libev) oder können statische Binärdateien von redsocks ausführen. Die Konfiguration erfolgt normalerweise über den Tab Administration > Commands in der Web-GUI.

Für DD-WRT besteht die stabilste Methode darin, ein Startup-Skript zu verwenden, das eine vorkompilierte redsocks-Binärdatei in das /tmp-Verzeichnis herunterlädt (da /usr bei vielen Builds schreibgeschützt ist). Wenn Ihr DD-WRT-Build jedoch den "Socks5"-Client unter dem Tab Services enthält, können Sie dort einfach Ihre GProxy-Zugangsdaten eingeben. Beachten Sie, dass dem integrierten Client oft die granulare Kontrolle darüber fehlt, welche Geräte über den Proxy geleitet werden.

Um eine dauerhafte Verbindung auf DD-WRT zu gewährleisten, verwenden Sie die folgende Logik in Ihrem Startup-Skript:

1. Prüfen der Internetverbindung.
2. Herunterladen der Konfigurationsdatei von einer sicheren lokalen Quelle oder Erzeugen per echo-Befehl.
3. Starten der Binärdatei mit dem Flag -c, das auf Ihre Konfiguration verweist.
4. Ausführen der iptables-Regeln analog zu denen in OpenWrt.

Vergleich von Proxy-Protokollen für die Router-Integration

Bei der Auswahl eines Protokolls für den Einsatz auf Router-Ebene sind Leistung und Kompatibilität die primären Kennzahlen. Während GProxy mehrere Formate unterstützt, ist SOCKS5 für Router im Allgemeinen überlegen, da es sowohl TCP als auch UDP (via UDP Associate) verarbeiten kann, was für Gaming und VoIP entscheidend ist.

Für Benutzer mit Einsteiger-Hardware (z. B. Router mit 600MHz MIPS-CPUs) ist SOCKS5 deutlich effizienter als OpenVPN. OpenVPN erfordert eine starke AES-Verschlüsselung/Entschlüsselung für jedes Paket, was eine 100-Mbit/s-Verbindung auf älterer Hardware auf 15 Mbit/s drosseln kann. Die SOCKS5-Implementierung von GProxy ermöglicht einen hohen Durchsatz, ohne die CPU des Routers voll auszulasten.

Erweitertes Policy-Based Routing (PBR)

In vielen Szenarien möchten Sie nicht, dass 100 % Ihres Datenverkehrs über einen Proxy laufen. Beispielsweise sollen Ihr Arbeits-Laptop und Ihr Smart-TV die in den USA ansässigen Residential IPs von GProxy nutzen, während Ihr Gaming-PC eine direkte Verbindung mit niedriger Latenz zu lokalen Servern beibehält.

Implementierung von PBR auf OpenWrt

Das Paket pbr (Policy Based Routing) in OpenWrt ist der ausgefeilteste Weg, dies zu handhaben. Es ermöglicht Ihnen, Regeln basierend auf der Quell-IP des Geräts in Ihrem Zuhause zu erstellen.

1. Installieren Sie das Paket: opkg install pbr luci-app-pbr.
2. Navigieren Sie in der LuCI-Oberfläche zu Network > Routing Policy.
3. Erstellen Sie ein "Proxy"-Interface, das auf Ihren lokalen redsocks-Port verweist.
4. Fügen Sie eine Regel hinzu: Source IP: 192.168.1.50 (Ihr Smart-TV) -> Interface: Proxy.
5. Alle anderen Geräte nutzen standardmäßig das normale WAN-Gateway.

Diese granulare Kontrolle stellt sicher, dass bandbreitenintensive Aufgaben, die keinen Proxy erfordern – wie OS-Updates oder lokale Backups – nicht unnötig Ihr GProxy Residential-Datenvolumen verbrauchen.

Vermeidung von DNS-Leaks

Ein häufiger Fehler bei SOCKS5-Router-Konfigurationen ist der "DNS-Leak". Selbst wenn Ihre Datenpakete über GProxy laufen, sendet Ihr Router DNS-Anfragen möglicherweise immer noch an die Standardserver Ihres ISPs. Dies gibt Ihren Browserverlauf preis und kann Geo-Blocking umgehen.

Um dies unter OpenWrt zu beheben, sollten Sie dnsmasq so konfigurieren, dass Anfragen über den Proxy weitergeleitet werden. Der effektivste Weg ist die Nutzung von dns-over-https (DoH) oder dnscrypt-proxy. Sobald diese installiert sind, können Sie deren Verkehr über dieselbe REDSOCKS-iptables-Chain leiten. Alternativ können Sie, falls Ihr SOCKS5-Client dies unterstützt, die Remote-DNS-Auflösung aktivieren, sodass der GProxy-Server die Abfrage für Sie durchführt.

# Beispiel-Python-Skript zur Überprüfung des Proxy-Status von einem Netzwerk-Client
import requests

def check_proxy_status():
    proxy_url = "http://192.168.1.1:12345" # Der transparente Proxy-Port Ihres Routers
    try:
        # Test gegen einen IP-Echo-Dienst
        response = requests.get("https://api.ipify.org?format=json", timeout=5)
        print(f"Aktuelle Exit-IP: {response.json()['ip']}")
    except Exception as e:
        print(f"Fehler bei der Verbindung über den Router-Proxy: {e}")

if __name__ == "__main__":
    check_proxy_status()

Wichtige Erkenntnisse

Die Konfiguration von SOCKS5 auf einem Router ist die ultimative "Set it and forget it"-Lösung für netzwerkweiten Datenschutz. Durch die Verwendung von OpenWrt oder DD-WRT erhalten Sie eine Kontrolle, die Firmware für Endverbraucher nicht bieten kann.

• Redsocks ist essenziell: Es fungiert als notwendige Brücke, um eine Standard-GProxy-SOCKS5-Verbindung in einen transparenten, systemweiten Proxy zu verwandeln.
• Iptables-Management: Stellen Sie immer sicher, dass Sie die Ziel-IP des Proxy-Servers von Ihren Routing-Regeln ausschließen, um Schleifen zu verhindern, die den Netzwerk-Stack des Routers zum Absturz bringen würden.
• Hardware ist wichtig: Wenn Sie planen, mehr als 50 Mbit/s an Datenverkehr zu routen, stellen Sie sicher, dass Ihr Router mindestens über eine Dual-Core-CPU verfügt, um die Paketumleitung und den redsocks-Overhead zu bewältigen.

Praktischer Tipp 1: Nutzen Sie immer das IP-Whitelisting im GProxy-Dashboard, wenn Ihr ISP eine statische IP bereitstellt. Dies entfernt den Overhead der Benutzer/Passwort-Authentifizierung in den Konfigurationsdateien Ihres Routers und verbessert die Geschwindigkeit des Verbindungsaufbaus geringfügig.

Praktischer Tipp 2: Testen Sie sofort nach der Einrichtung auf Leaks mit Tools wie browserleaks.com/dns. Wenn Sie irgendwo den Namen Ihres ISPs sehen, wird Ihr DNS nicht durch den SOCKS5-Tunnel geleitet, und Sie müssen Ihre dnsmasq-Einstellungen anpassen.