Relier des clients SOCKS à un parent HTTP CONNECT avec 3proxy

Explique une passerelle côté SOCKS adossée à un parent HTTP CONNECT, et les exigences de protocole et d'authentification à chaque saut.

L'application exige SOCKS. Votre service amont approuvé accepte HTTP CONNECT. Placer le point de terminaison HTTP dans le champ SOCKS de l'application ne traduit pas entre les protocoles.

Une passerelle peut accepter SOCKS depuis l'application, lire la destination demandée et demander au parent HTTP un tunnel CONNECT vers cette destination. Elle relaie ensuite le flux de l'application dans le tunnel.

SOCKS application → SOCKS-facing gateway → HTTP CONNECT parent → destination

Rendez chaque interface explicite

Pour une passerelle qui prend en charge cette disposition, le type de parent compte. La documentation de 3proxy distingue un parent connect d'un parent utilisé comme simple proxy de transfert HTTP.

Avec un utilisateur 3proxy et une authentification déjà en place, un fragment de routage purement local peut prendre cette forme :

auth strong
allow alex
parent 1000 connect parent.example.net 8080
socks -i127.0.0.1 -p1080

Ce fragment suppose que le compte est déjà défini. Il n'ajoute aucun identifiant que le parent HTTP exige lui-même et ne remplace pas la politique d'accès existante. Pour des destinations publiques sur une route autorisant un parent HTTP public non authentifié, la liste de proxys HTTP propose des candidats hôte et port. Laissez les identifiants du parent absents pour cette branche et confirmez l'autorisation pour la cible réelle ; le compte de la passerelle reste local. La règle parent est associée à la règle allow précédente selon le modèle de configuration documenté de 3proxy.

L'application utilise le point de terminaison SOCKS local. La passerelle utilise HTTP CONNECT vers le parent. Le parent décide toujours si l'hôte et le port de destination demandés sont autorisés.

Le tunneling de flux TCP ordinaire est la portée utile ici. Une association UDP SOCKS5 n'est pas prise en charge simplement parce que l'écouteur frontal accepte SOCKS5. Un parent HTTP CONNECT ne fournit pas automatiquement le relais UDP requis.

HTTPS peut rester de bout en bout dans ce chemin ; la traduction entre interfaces de proxy n'exige pas d'usurper le site de destination. L'authentification auprès de la passerelle, auprès du parent et auprès du site restent des identifiants et des échanges distincts.

Articles similaires