SOCKS5 o SOCKS5h: on es resol el DNS

Compara la resolució DNS local i al proxy amb curl, diagnostica errors de resolució i entén què protegeix socks5h i què no.

A curl, tria socks5h:// quan el proxy hagi de resoldre el nom de destinació. Tria socks5:// quan curl l’hagi de resoldre localment i enviar una adreça al proxy. Tots dos fan servir SOCKS5; la h final és una convenció d’URL del client.

Compara els modes substituint el punt d’escolta local pel teu punt de connexió SOCKS5:

curl --noproxy '' --proxy socks5://127.0.0.1:1080 --connect-timeout 5 --max-time 15 --verbose https://example.com/
curl --noproxy '' --proxy socks5h://127.0.0.1:1080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Només canvia el mode de resolució. --noproxy '' esborra les regles que eviten el proxy per a aquestes crides, i els límits de temps acoten la comparació. Les opcions específiques equivalents són --socks5 i --socks5-hostname. Fes servir un nom d’amfitrió com a destinació: una adreça IP literal no necessita resoldre el nom de destinació i no pot demostrar aquesta diferència.

Un nom pot existir només en un costat

Suposa que el proxy s’executa dins d’una xarxa de desenvolupament el DNS de la qual coneix el nom d’un servei intern. El portàtil pot no resoldre aquest nom en mode socks5, mentre que socks5h deixa que el resolgui el proxy. Inverteix la situació, amb un nom definit només al fitxer hosts del portàtil, i pot ser la resolució remota la que falli.

El DNS públic també pot retornar adreces diferents des de xarxes diferents. Uns resultats diferents són motiu per comparar les adreces seleccionades i la seva accessibilitat, en lloc de substituir el proxy immediatament.

  • No es pot resoldre el nom d’amfitrió del proxy: cap dels dos modes pot començar. El client continua resolent proxy.example a socks5h://proxy.example:1080.
  • La resolució local de la destinació falla: revisa el resolutor del client o compara amb el mode que envia el nom d’amfitrió al proxy.
  • El servidor SOCKS rebutja la destinació: revisa’n la resposta i la política. Una resolució local correcta no demostra l’accessibilitat des de l’altre costat.
  • El túnel funciona, però falla la verificació del certificat: investiga el TLS de la destinació; triar un altre mode DNS no és una solució general per als problemes de confiança.

Un nom de prova que controles i els registres del servidor poden confirmar quin tipus d’adreça ha arribat a un proxy que administres. Una pàgina que mostra la IP de sortida no pot fer-ho: informa de la connexió de sortida, no d’on s’ha resolt el DNS.

El benefici de privadesa té un abast concret

La resolució al proxy evita la consulta local de la destinació per a aquesta petició. No xifra SOCKS, no demostra que el proxy faci servir DNS xifrat ni encamina el trànsit d’altres aplicacions o de la precàrrega del navegador. Requests amb suport per a SOCKS fa servir la mateixa distinció entre resolució local i al proxy; altres clients poden oferir una opció en lloc de la notació d’URL de curl. Tria un protocol compatible amb l’aplicació abans de copiar un punt de connexió de la llista de proxys SOCKS5.

Articles relacionats