公司为了加强网络安全，采购了深信服的零信任（atrust）作为以前openvpn的代替方案，接入方需要使用 atrust 客户端进行接入。某天突然在 v2ex 上发现了基于 docker 和梯子软件结合，免安装客户端实现接入的方式，然后一直没有验证成功，今天趁着国庆假期，再次尝试，终于成功。实际上还是担心 atrust 会对本地电脑进行监控，感觉安装在 docker 容器中，可以最大程度的限制其能力。

网络拓扑#

![[image 2.png]]

docker-atrust 配置#

1
services:
2
  atrust:
3
    image: hagb/docker-atrust
4
    container_name: atrust
5
    environment:
6
      - PASSWORD=123456 # 密码按照实际情况填写
7
      - URLWIN=1
8
      - TZ=Asia/Shanghai
9
    volumes:
10
      - $HOME/data/atrust:/root
11
    ports:
12
      - "5901:5901"
13
      - "1080:1080" # socks5 端口
14
      - "8888:8888" # http 代理端口
15
      - "54631:54631"
16
    devices:
17
      - /dev/net/tun
18
    cap_add:
19
      - NET_ADMIN
20
    sysctls:
21
      - net.ipv4.conf.default.route_localnet=1
22
    restart: unless-stopped

通过 vnc 登录#

![[image 3.png]]

连入后，和普通 atrust 操作一样，输入服务器地址、用户名密码完成登录，这里比较重要的是配置连接服务器url时，域名需要在下面的 mihomo 配置中进行特殊配置（下面会讲到）

mihomo 配置#

因为公司使用了私有域名，docker-atrust 连入成功后，atrust 会下发 dns 解析规则到容器，需要将这部分 dns 指定到 mihomo 的 hosts 中

1
hosts:
2
  # 公司dns
3
  mysql-xxx.xxx.io:   47.96.xxx.xxx # 公司ip
4
  mysql8-test.xxx.io:   172.16.xxx.xxx # 公司内网ip

增加 socks5 代理节点

1
proxies:
2
  - name: ATRUST
3
    type: socks5
4
    server: 192.168.50.4 # 指向 192.168.50.4 宿主机
5
    port: 1080 #

增加代理规则

1
proxy-groups:
2
  - { name: 公司线路, type: select, proxies: [DIRECT, ATRUST] } # 这里考虑本地 mac 上的clash verge配置，在公司时直连

代理规则配置

1
rules:
2
  # 公司atrust
3
  - "DOMAIN,atrust.xxx.com,DIRECT" # 这里指定 atrust 连接用的域名走直连
4
  - "DOMAIN-SUFFIX,xxx.io,公司线路"
5
  - "DOMAIN-SUFFIX,xxx.com,公司线路"
6
  - "IP-CIDR,47.96.xxx.xxx/32,公司线路,no-resolve" # 47.96.xxx.xxx 是 atrust.xxx.com 的 ip

openwrt 路由配置#

在家调试java应用时，发现无法访问公司的 172.16.6.0/24 和 172.16.7.0/24 网段的 dubbo 服务，需要手动添加两条路由规则到路由表中

1
ip route add 172.16.6.0/24 dev nikki
2
ip route add 172.16.7.0/24 dev nikki

网络拓扑#

docker-atrust 配置#

通过 vnc 登录#

mihomo 配置#

openwrt 路由配置#

📎 参考文章#

文章分享

使用 docker-atrust 连入深信服

网络拓扑#

docker-atrust 配置#

通过 vnc 登录#

mihomo 配置#

openwrt 路由配置#

📎 参考文章#

文章分享