如何在无代理设置选项的机顶盒上实现网络流量代理拦截？

准备工作 #

• 确保运行Charles的Windows笔记本与OpenWRT路由器在同一局域网，且笔记本设置固定IP（例如192.168.1.100）
• 在Charles中开启透明代理：打开Charles → 菜单栏 Proxy → Proxy Settings → 勾选Enable Transparent HTTP Proxying，记录默认监听端口8888
• 在OpenWRT后台的DHCP设置中，给机顶盒绑定固定IP（例如192.168.1.200），避免IP变动导致规则失效

方法一：手动配置iptables转发流量到Charles #

通过OpenWRT的iptables规则，直接将机顶盒的HTTP/HTTPS流量转发到Charles所在的笔记本：

1. 登录OpenWRT的SSH终端，执行以下命令：

# 转发机顶盒HTTP请求到Charles
iptables -t nat -A PREROUTING -s 192.168.1.200 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8888
# 转发机顶盒HTTPS请求到Charles（需配合SSL代理设置）
iptables -t nat -A PREROUTING -s 192.168.1.200 -p tcp --dport 443 -j DNAT --to-destination 192.168.1.100:8888
# 确保返回流量正常回传
iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 8888 -j MASQUERADE

2. 若需重启路由器后规则保留，将上述命令添加到/etc/firewall.user文件中，执行/etc/init.d/firewall restart生效。

HTTPS流量拦截额外步骤 #

• 在Charles中生成根证书：菜单栏 Help → SSL Proxying → Install Charles Root Certificate on a Mobile Device or Remote Browser
• 在机顶盒的浏览器中访问chls.pro/ssl，下载并安装证书（需在机顶盒系统设置的安全选项中允许安装未知来源证书）
• 在Charles中开启SSL代理：Proxy → SSL Proxying Settings → 勾选Enable SSL Proxying，添加需要拦截的域名（或用*通配符匹配所有域名）

方法二：使用RedSocks2插件简化配置 #

如果不想手动编写iptables规则，可借助OpenWRT的RedSocks2插件实现透明代理：

1. 登录OpenWRT后台，进入软件包，搜索并安装redsocks2和iptables-mod-nat-extra
2. 编辑RedSocks2配置文件/etc/config/redsocks2，修改为以下内容：

config redsocks2
    option enabled '1'
    option proxy_type 'http-connect'
    option ip '192.168.1.100'
    option port '8888'

3. 添加iptables规则，将机顶盒流量转发到RedSocks2：

# 创建自定义链
iptables -t nat -N REDSOCKS
# 排除内网流量，避免转发本地服务请求
iptables -t nat -A REDSOCKS -d 192.168.1.0/24 -j RETURN
# 转发HTTP/HTTPS流量到RedSocks2默认端口12345
iptables -t nat -A REDSOCKS -p tcp --dport 80 -j REDIRECT --to-ports 12345
iptables -t nat -A REDSOCKS -p tcp --dport 443 -j REDIRECT --to-ports 12345
# 仅对机顶盒IP应用规则
iptables -t nat -A PREROUTING -s 192.168.1.200 -j REDSOCKS

4. 重启服务生效：/etc/init.d/redsocks2 restart，/etc/init.d/firewall restart

注意事项 #

• 确保Windows笔记本的防火墙允许8888端口的入站连接
• 若机顶盒访问内网服务，需在iptables规则中添加对应内网IP段的排除项，避免流量被错误转发
• 部分运营商定制机顶盒可能限制自定义证书安装，需确认设备是否支持此操作

内容的提问来源于stack exchange，提问作者Chris