DNS の変更だけで SOCKS プロキシを設定できない理由

DNS の応答を変えると、ブラウザーが接続するアドレスが変わるだけです。そこに到達したあとにブラウザーが話すプロトコルは変わりません。

通常の HTTP URL を開けばブラウザーは HTTP を送ります。HTTPS URL ならそのサイト向けに TLS を開始します。しかし SOCKS5 サーバーはまず独自のネゴシエーションを待ちます。方式の選択、必要なら認証、そして宛先を示す要求です。未設定のブラウザーはそれらを一切送りません。

そのため、到達可能な Dante のリスナーが DNS 変更の直後に接続を閉じてしまうことがあります。サービスは正常でも、届くバイト列は別のプロトコルのものです。リスナーをポート 80 や 443 に移しても、そのバイト列が SOCKS になるわけではありません。

ブラウザーの SOCKS 設定、たとえば Firefox の SOCKS 設定 や、アプリケーション固有のプロキシ設定を行い、ハンドシェイクを実行してプロキシに先の接続を依頼させます。PAC ファイルは、それを使うアプリケーション向けに対応したプロキシ経路を選べます。それでも別個のプロキシ設定であり、A や AAAA レコードの性質ではありません。

HTTPS は DNS だけという考えにさらなる障害を加えます。ブラウザーは URL にあるサイトの身元を引き続き期待します。プロキシのホスト向けの証明書は、DNS が接続をそこへ送ったというだけではその期待を満たせません。

透過的なネットワーク傍受は、ルーティングと対応する傍受ソフトウェアを伴う別の設計です。DNS から SOCKS サーバーのアドレスを返すだけでは得られません。