Оборачивание сокета SOCKS в TLS в Node.js

Оберните целевой поток, который возвращает пакет socks, с помощью tls.connect и сохраните имя хоста сайта для SNI и проверки сертификата.

SocksClient.createConnection возвращает поток, подключённый к запрошенному назначению. Для HTTPS этому потоку всё ещё нужен TLS-хендшейк, прежде чем он передаст HTTP-запрос.

import { SocksClient } from 'socks';
import tls from 'node:tls';

const targetHost = 'service.example';
const info = await SocksClient.createConnection({
  proxy: { host: 'proxy.example', port: 1080, type: 5 },
  command: 'connect',
  destination: { host: targetHost, port: 443 },
  timeout: 10000,
});
const secure = tls.connect({
  socket: info.socket,
  servername: targetHost,
});
secure.on('error', onTransportError);
secure.on('data', onResponseBytes);
secure.once('secureConnect', () => {
  secure.write(
    `GET /data HTTP/1.1\r\nHost: ${targetHost}\r\nConnection: close\r\n\r\n`
  );
});

Список прокси SOCKS5 предоставляет кандидатов для хоста и порта прокси. onTransportError и onResponseBytes принадлежат существующему приложению; второму нужно разбирать поток HTTP-ответа. Фрагменты данных TLS не являются самостоятельно полными HTTP-сообщениями.

servername — это DNS-имя назначения. Низкоуровневый tls.connect в Node не включает SNI по умолчанию, а имя хоста прокси не является идентичностью сертификата сайта.

Оставляйте проверку сертификата включённой. Передача подключённого сокета избавляет от открытия отдельного прямого соединения с сайтом и сохраняет его TLS-идентичность.

Тайм-аут SOCKS ограничивает эти переговоры. Последующий обмен TLS и приложения всё ещё требует заданных вызывающим кодом тайм-аута, отмены и политики очистки.

Похожие статьи