Node.js で SOCKS ソケットを TLS でラップする

SocksClient.createConnection は、要求した宛先に接続されたストリームを返します。HTTPS では、そのストリームが HTTP リクエストを運ぶ前に TLS ハンドシェイクがまだ必要です。

import { SocksClient } from 'socks';
import tls from 'node:tls';

const targetHost = 'service.example';
const info = await SocksClient.createConnection({
  proxy: { host: 'proxy.example', port: 1080, type: 5 },
  command: 'connect',
  destination: { host: targetHost, port: 443 },
  timeout: 10000,
});
const secure = tls.connect({
  socket: info.socket,
  servername: targetHost,
});
secure.on('error', onTransportError);
secure.on('data', onResponseBytes);
secure.once('secureConnect', () => {
  secure.write(
    `GET /data HTTP/1.1\r\nHost: ${targetHost}\r\nConnection: close\r\n\r\n`
  );
});

SOCKS5 プロキシ一覧 はプロキシのホストとポートの候補を提供します。onTransportError と onResponseBytes は既存のアプリケーションに属し、後者は HTTP レスポンスのストリームを解析する必要があります。TLS のデータ断片は 単独では完全な HTTP メッセージではありません。

servername は宛先の DNS 名です。Node の低レベルな tls.connect は既定では SNI を有効にせず、プロキシのホスト名は Web サイトの証明書の識別名ではありません。

証明書検証は有効のままにします。接続済みのソケットを渡すことで、Web サイトへの別個の直接接続を開かずに TLS の識別性を保てます。

SOCKS のタイムアウトはそのネゴシエーションを制限します。その後の TLS とアプリケーションのやり取りには、呼び出し側が意図するタイムアウト、キャンセル、後片付けの方針が依然として必要です。