飞牛这次漏洞有没有搞头

[leang521]

从这次飞牛漏洞，想到我很久前就有的一个想法。 为啥不搞个自带 VPN 的浏览器。 本次大面积漏洞的核心就是 web 服务被击穿。全内网的都还安好。 那么如果有一款浏览器，自带 VPN 功能。只通过 VPN 访问内网服务，是不是就安全的多。

[yuland6666]

我说今天远程怎么 g 了😭

[DefoliationM]

tailscale 就够了。

[leang521]

为何不用系统代理：常规的 VPN 软件要不搭建困难，要不影响客户端，比如客户端本身就处于多 VLAN 环境的复杂网络，VPN 会破坏客户端的路由表。
为何不用 chrome 代理插件：没找到自建服务的，用其他人的服务安全性存疑


其实我目前用的极空间客户端也有同样的功能，通过 mtls 建立隧道，然后客户端的所有服务走隧道。但是极空间的东西感觉也不是很靠谱

[admims]

你都这样了，为什么不用 zerotier 呢？
web 段本来就是方便别人直接访问的，有些时候链接打洞是打不了的

[cr3bit]

飞牛比起穿透更多是容易上手，其他几个系统一套初始/权限设置就劝退大部分。后面虽然有了群晖/qnap 这种带套件的成品，但是掏钱一样得学设置，或者黑群再加一个引导更容易当晚挂咸鱼
然后还有个就是像网盘/照片要分享给其他人不开外网大概率就是：no ，thanks ，请发微信。尤其帮老年人处理过照片的应该会明白喜欢照照片，但是都是微信传啊传，不保存过几天就...

[cr3bit]

抱歉，好像回错了-_-

[charles0]

还有一个东西叫 WebVPN ，简单来说就是一个 Web UI 网页，打开时自动进行 VPN 连接

[lozzow]

从产品的角度,我觉得是可以的,但是国内做这个资质相关的很麻烦,需要的资质/备案很多,也不见得能赚钱,搞 nas 的人一般多多少少会一点点这些,还不如封装一个 clash 分流来做这个事情,更简单好操作

[A1188]

我记得联想的 NAS ，APP 远程访问就是用的 VPN 来连 NSA 的。。。

[leang521]

@charles0 WebVPN 说白了还是吧内网 web 服务映射到外网。和这次飞牛的屎诗级 BUG 师出同源

@lozzow 为啥要国内资质，你用的 chrome 有国内资质吗

@A1188 对，感觉这个才是正途

[GiantHard]

把 vpn 集成进浏览器里面的话，就没法在公网通过 NAS 手机客户端访问了内网服务了，这样的用户体验得下降📉一大截。

我有一个想法，可以通过某种技术，将 NAS 上的指定端口映射到外网设备 localhost 的固定端口，这样外网客户端就可以通过指定本地端口连回内网 NAS ，而且也不会干扰客户端路由表。

[bitnerd]

还是用 surge 吧，毕竟常年 surge 不关，在家里路由器上开个 SS 端口，surge 里写一条规则分流 192.168.2.0/24 就行了

[lozzow]

@leang521 #30 你的这个东西涉及经营性 VPN 服务,必须获得工信部颁发的 B13 类增值电信业务经营许可. 至于为啥 chrome 为啥没资质也能运行,你就问皮柴在不在天朝吧

[rev1si0n]

为啥要多装个浏览器我直接装一个 vpn 客户端不好嘛？除了访问 web 还能干其他的

[leang521]

@rev1si0n 前面说了，VPN 会破坏客户端的路由环境，这对大多数人是不可用的，为啥飞牛那么火。

@lozzow 国内走 VPN 的应用多了，只有通过 VPN 解除运营商限制才是需要经营许可。回家不算，不然那么多路由器都得凉

[lozzow]

@leang521 #35 你这么说我是理解的,但是有有些事不上称没四两重，上称了一千斤也打不住,不管是来自远洋捕捞还是同行举报使坏,多少都要注意下,如果资质齐全,做起来后顾之忧会少很多,做商业,多少要考虑点

[louol]

@leang521 有没有可能有个东西叫仅本地代理，只开放代理端口，任意能安装拓展的浏览器都支持设置本地代理，除了 ios 做不到。除了纯小白，谁会用你的 VPN 浏览器，firefox edge 搭配 vpn 软件开放本地代理端口不安全么？

[leang521]

@louol 飞牛这次出问题的 fn connect ，就是个浏览器插件，通过插件自建隧道实现任意浏览器访问内网。只可惜这个隧道太拉稀，被人直接给破了，这也是第三方隧道的毛病，安全不受控。所以搞个自建隧道是不是就比这种闭源的第三方隧道靠谱得多。