SOCKS5 und SOCKS5h: Wo findet die DNS-Auflösung statt?

Vergleichen Sie lokale und proxyseitige DNS-Auflösung in curl, grenzen Sie Namensauflösungsfehler ein und verstehen Sie die Schutzwirkung von socks5h.

Wählen Sie in curl socks5h://, wenn der Proxy den Zielnamen auflösen soll. Wählen Sie socks5://, wenn curl ihn lokal auflösen und eine Adresse an den Proxy senden soll. Beide verwenden SOCKS5; das abschließende h ist eine URL-Konvention des Clients.

Vergleichen Sie die Modi mit Ihrem SOCKS5-Endpunkt anstelle des lokalen Listeners:

curl --noproxy '' --proxy socks5://127.0.0.1:1080 --connect-timeout 5 --max-time 15 --verbose https://example.com/
curl --noproxy '' --proxy socks5h://127.0.0.1:1080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Nur der Auflösungsmodus ändert sich. --noproxy '' hebt für diese Aufrufe die Umgehungsregeln auf; die Zeitlimits begrenzen die Dauer des Vergleichs. Die entsprechenden eigenen Optionen sind --socks5 und --socks5-hostname. Verwenden Sie einen Hostnamen als Ziel: Eine direkt angegebene IP-Adresse benötigt keine Auflösung des Zielnamens und kann den Unterschied daher nicht zeigen.

Ein Name kann nur auf einer Seite bekannt sein

Angenommen, der Proxy läuft in einem Entwicklungsnetz, dessen DNS einen internen Dienstnamen kennt. Ihr Laptop kann diesen Namen im Modus socks5 möglicherweise nicht auflösen, während socks5h die Auflösung dem Proxy überlässt. Im umgekehrten Fall, wenn der Name nur in der hosts-Datei Ihres Laptops steht, kann stattdessen die entfernte Auflösung scheitern.

Auch öffentliches DNS kann aus verschiedenen Netzen unterschiedliche Adressen liefern. Abweichende Ergebnisse sind ein Anlass, die ausgewählten Adressen und ihre Erreichbarkeit zu vergleichen, statt sofort den Proxy auszutauschen.

  • Der Proxy-Hostname lässt sich nicht auflösen: Keiner der Modi kann starten. Ihr Client löst weiterhin proxy.example in socks5h://proxy.example:1080 auf.
  • Die lokale Auflösung des Zielnamens schlägt fehl: Prüfen Sie den Resolver des Clients oder vergleichen Sie mit dem Modus, der den Hostnamen vom Proxy auflösen lässt.
  • Der SOCKS-Server lehnt das Ziel ab: Prüfen Sie seine Antwort und Richtlinie. Eine erfolgreiche lokale Auflösung belegt keine Erreichbarkeit vom entfernten Netz aus.
  • Der Tunnel funktioniert, die Zertifikatsprüfung schlägt fehl: Untersuchen Sie TLS am Ziel; ein anderer DNS-Modus ist keine allgemeine Lösung für Vertrauensprobleme.

Ein kontrollierter Testname und serverseitige Protokolle können zeigen, welcher Adresstyp bei einem von Ihnen verwalteten Proxy angekommen ist. Eine Webseite zur Anzeige der Ausgangs-IP kann das nicht: Sie meldet die ausgehende Verbindung, nicht den Ort der DNS-Auflösung.

Der Datenschutzvorteil hat einen klaren Umfang

Die Auflösung durch den Proxy vermeidet die lokale Auflösung des Zielnamens für diese Anfrage. Sie verschlüsselt weder SOCKS noch beweist sie, dass der Proxy verschlüsseltes DNS nutzt. Auch der Verkehr anderer Anwendungen oder des Browser-Prefetchings wird dadurch nicht umgeleitet. Requests mit SOCKS-Unterstützung unterscheidet ebenfalls zwischen lokaler und proxyseitiger Auflösung; andere Clients bieten dafür möglicherweise eine Einstellung statt der URL-Schreibweise von curl. Wählen Sie ein von Ihrer Anwendung unterstütztes Protokoll, bevor Sie einen Endpunkt aus der SOCKS5-Proxy-Liste übernehmen.

Ähnliche Artikel