socat SOCKS-bruer: ta vare på TLS-vertsnamnet til nettstaden

Bruk ein loopback TCP-lyttar for éin SOCKS-destinasjon, og ta vare på HTTP- og TLS-identiteten i programmet.

Eit program har ingen SOCKS-val, men kan kople til ei vald TCP-adresse. Ein adapter med fast mål kan levera SOCKS-samtalen for éin destinasjon. Han treng ikkje bli nok ein generell videresendingsproxy.

For socat-bygg med SOCKS4A er eit illustrerande oppsett:

socat TCP4-LISTEN:9443,bind=127.0.0.1,reuseaddr,fork \
  SOCKS4A:127.0.0.1:service.example.net:443,socksport=1080

SOCKS-endepunktet er lokal port 1080. Adapteren lyttar på lokal port 9443 og ber dette endepunktet om service.example.net:443. Dette er døme på verdiar, ikkje full tenesteutrulling.

Adapteren har eitt fast mål

Kvar godtekne TCP-tilkopling ber om den same tenesta. Eit program som koplar til 9443, leverer dei vanlege protokollbyta sine; socat leverer SOCKS4A-forhandlinga. Ei ny HTTP CONNECT-førespurnad til 9443 ville ikkje velja ein annan destinasjon—ho ville senda desse byta vidare til den faste tenesta.

SOCKS4A gir eit vertsnamn til SOCKS-endepunktet for fjernoppslag. Det skil seg frå SOCKS4-forma som brukar ei klientvald adresse. Den valde oppstraumen—inkludert ein offentleg kandidat frå SOCKS4-proxylista—må støtta SOCKS4A-vertsnamnhandsaming og den naudsynte autentiseringa; dette dømet er ikkje ei SOCKS5-passordoppskrift.

Kople til lokalt, identifiser den ekte tenesta

Å endra ein HTTPS-URL til https://127.0.0.1:9443/ endrar vertsnamnet klienten kan bruka for TLS og HTTP. Eit sertifikat for service.example.net blir ikkje eit gyldig sertifikat for loopback.

Der klienten støttar separat tilkoplingsruting, hald på identiteten til den opphavlege URL-en. Curl kan illustrera den skilnaden:

curl --noproxy '*' \
  --connect-to service.example.net:443:127.0.0.1:9443 \
  https://service.example.net/

Sokkelen går til den lokale adapteren medan TLS-verifisering og HTTP-destinasjonen blir verande service.example.net. Andre program treng si eiga tilsvarande støtta kontroll; ikkje alle klientar tilbyr ei.

Loopback-bindinga avgrensar netteksponering, men andre kvalifiserte lokale prosessar kan framleis nå henne. Hald tenestelivstida og brukarane høvelege. Hald på TLS-verifiseringa i staden for å undertrykkja identitetsfeilen som ein loopback-URL fører til.

Relaterte artiklar