SOCKS mostovi socat: ohranite ime gostitelja TLS spletnega mesta

Uporabite loopback TCP poslušalec za eno destinacijo SOCKS in ohranite identiteto HTTP in TLS v aplikaciji.

Aplikacija nima možnosti SOCKS, lahko pa se poveže na izbrani naslov TCP. Pretvornik s fiksno tarčo lahko zagotovi pogovor SOCKS za eno destinacijo. Ni mu treba postati še en splošen posredniški strežnik za posredovanje.

Za gradnje socat, ki ponujajo SOCKS4A, je ilustrativna postavitev naslednja:

socat TCP4-LISTEN:9443,bind=127.0.0.1,reuseaddr,fork \
  SOCKS4A:127.0.0.1:service.example.net:443,socksport=1080

Končna točka SOCKS je lokalna vrata 1080. Pretvornik posluša na lokalnih vratih 9443 in od te končne točke zahteva service.example.net:443. To so primerne vrednosti, ne popolna namestitev storitve.

Pretvornik ima eno fiksno tarčo

Vsaka sprejeta povezava TCP zahteva isto storitev. Aplikacija, ki se poveže na 9443, pošlje svoje običajne protokolarne bajte; socat zagotovi pogajanja SOCKS4A. Nova zahteva HTTP CONNECT na 9443 ne bi izbrala druge destinacije—te bajte bi poslala naprej fiksni storitvi.

SOCKS4A posreduje ime gostitelja končni točki SOCKS za oddaljeno razreševanje. To se razlikuje od oblike SOCKS4, ki uporablja naslov, ki ga izbere odjemalec. Izbrani nadrejeni tok—vključno z javnim kandidatom s seznama posrednikov SOCKS4—mora podpirati obdelavo imen gostiteljev SOCKS4A in zahtevano preverjanje pristnosti; ta primer ni recept za prijavo z geslom SOCKS5.

Povežite se lokalno, prepoznajte pravo storitev

Sprememba naslova HTTPS v https://127.0.0.1:9443/ spremeni ime gostitelja, ki ga odjemalec lahko uporabi za TLS in HTTP. Potrdilo za service.example.net ne bo postalo veljavno potrdilo za loopback.

Kjer odjemalec podpira ločeno usmerjanje povezave, ohranite identiteto izvirnega naslova URL. Curl lahko ponazori to razliko:

curl --noproxy '*' \
  --connect-to service.example.net:443:127.0.0.1:9443 \
  https://service.example.net/

Vtičnica gre do lokalnega pretvornika, medtem ko preverjanje TLS in cilj HTTP ostaneta service.example.net. Druge aplikacije potrebujejo svoj enakovreden podprt nadzor; vsak odjemalec ga ne ponuja.

Vezava loopback omejuje omrežno izpostavljenost, vendar lahko drugi ustrezni lokalni procesi še vedno dosežejo do nje. Ohranite primerno življenjsko dobo storitve in uporabnike. Ohranite preverjanje TLS, namesto da bi zatrli napako identitete, ki jo povzroči naslov loopback.

Sorodni članki