Cysylltiad IPv6 yn unig, gwasanaeth IPv4: gadewch i ddirprwy SOCKS ei bontio

Nid oes angen cyfeiriad o deulu'r cyrchfan arnoch i'w gyrraedd, cyhyd ag y bo rhywbeth ar y llwybr yn barod i drosglwyddo. Mae'r cymhwysiad yn cysylltu â'r dirprwy, ac mae'r dirprwy yn agor ail gysylltiad â'r gyrchfan. Dau soced â theuluoedd cyfeiriad annibynnol yw'r rhain, ac nid oes dim yn y naill brotocol na'r llall yn mynnu eu bod yn cyd-fynd. Trosglwyddo ar lefel cymhwysiad yw hyn, nid llwybr IPv4 brodorol, a'r gwahaniaeth hwnnw sy'n penderfynu beth a fydd yn gweithio a beth na fydd. Cymysgu'r ddau yw'r ffordd y mae gliniadur yn cael ei ddisgrifio fel un â chysylltedd IPv4 pan mai dirprwy yw'r cyfan sydd ganddo.

Dau soced, dwy deulu cyfeiriad

Mae cais SOCKS5 yn enwi'r gyrchfan mewn un o dri ffurf: cyfeiriad v4 llythrennol, cyfeiriad v6 llythrennol, neu enw i'r dirprwy ei ddatrys. Mae'r cais yn disgrifio ble y dylai'r dirprwy gysylltu, nid sut mae'r cysylltiad cleient-i-ddirprwy yn edrych.

Darllenwch y mathau hyn o gyfeiriadau fel tri dewis annibynnol o fewn un neges. Gall dirprwy y gellir ei gyrraedd dros IPv6 agor soced cyrchfan IPv4 pryd bynnag y bo ganddo allanfa IPv4 weithredol ac y bydd ei bolisi'n caniatáu'r cais. Mae manyleb SOCKS5 yn eu diffinio heb unrhyw gyfeiriad at gludiant y cleient o gwbl.

Enghraifft SSH reoledig

Cymerwch westeiwr SSH yr ydych wedi'ch awdurdodi i'w ddefnyddio, sy'n ateb ar IPv6 ac yn gallu cyrraedd gwasanaeth HTTPS sy'n bodoli ar v4 yn unig. Mae anfon ymlaen dynamig OpenSSH yn rhoi gwrandäwr SOCKS lleol ar eich peiriant tra bo'r sesiwn fewngofnodi yn rhedeg dros v6.

ssh -6 -N -D 127.0.0.1:1081 -o ExitOnForwardFailure=yes [email protected]

Mae'r gwesteiwr a'r cyfrif uchod yn enghreifftiau, ac mae'r rhwymiad loopback yn cadw'r gwrandäwr ar y cyfrifiadur hwn. Peidiwch â'i ddisodli â rhwymiad gwyllt fel y gall swyddfa rannu dirprwy heb ddilysu. Mae ExitOnForwardFailure=yes yn bodoli fel bod anfon ymlaen sy'n methu yn diweddu'r sesiwn yn lle gadael gorchymyn tawel yn rhedeg yn y cefndir.

Gyda'r sesiwn yn rhedeg, mae'r cais yn edrych fel hyn:

curl --proxy socks5h://127.0.0.1:1081 https://v4-only.example/

Nid llwybr rhyngrwyd IPv4 yw'r cysylltiad loopback. Yr hyn sy'n gadael eich peiriant yw'r sesiwn fewngofnodi dros v6, a'r ochr bell sy'n agor soced y gyrchfan. Mae ffurf socks5h hefyd yn dirprwyo datrys enwau i'r ochr honno, sy'n bwysig pan nad oes gan y cleient lwybr datryswr IPv4 ei hun.

Beth mae'r gyrchfan yn ei weld mewn gwirionedd

Mae'r gyrchfan yn gweld cyfeiriad allanfa'r trosglwyddwr. Nid oes unrhyw gyfeiriad sy'n perthyn i'ch gliniadur yn ymddangos yno. Rhaid i restr caniatáu ffynhonnell ar y gwasanaeth hwnnw enwi'r trosglwyddwr. Bydd ei gofnodion hefyd yn priodoli'r traffig i'r trosglwyddwr. Ysgrifennwch hyn yn y cofnod newid cyn yr archwiliad, oherwydd mae rhestr caniatáu a adeiladwyd o amgylch cyfeiriadau cleientiaid yn methu ar y cais cyntaf.

Y trosglwyddwr hefyd yw'r lle y mae dwy hanner y sgwrs yn weladwy, sy'n briodwedd ddefnyddiol wrth ddiagnosio ac yn atebolrwydd os yw'r trosglwyddwr yn cael ei rannu heb bolisi.

Nid yw hyn yn DNS64 nac yn NAT64

Mae DNS64 yn ateb â chofnodion syntheseiddiedig sy'n sefyll dros gyrchfannau v4, ac mae NAT64 yn ailysgrifennu pecynnau ar hyd llwybr wedi'i ffurfweddu. Nid yw'r naill na'r llall yn disgrifio'r hyn sy'n digwydd yma, lle mae un sgwrs gludiant yn gorffen ac un arall yn dechrau ac nid oes cyfeiriad syntheseiddiedig yn esbonio'r canlyniad. Felly nid yw cais llwyddiannus yn dweud dim am ba wasanaethau cyfieithu y mae eich darparwr yn eu gweithredu, ac efallai y bydd y dirprwy'n rhedeg NAT cyffredin ar ei allanfa ei hun.

Gall y naill fecanwaith a'r llall fodoli yn yr un rhwydwaith, felly disgrifiwch yr un y gwnaethoch ei wirio mewn gwirionedd yn lle'r un sy'n swnio'n agosaf.

Gwybyddwch y cwmpas cyn ei addo

Mae anfon ymlaen dynamig OpenSSH yn cario cysylltiadau TCP, nid traffig IP mympwyol, felly mae angen dyluniad cefnogol gwahanol ar UDP, ICMP ac unrhyw brotocol sy'n anwybyddu'r dirprwy. Cadwch wirio allwedd gwesteiwr SSH, cyfyngiadau anfon ymlaen y gweinydd a dilysu tystysgrif HTTPS, oherwydd mae'r dirprwy'n gyfranogwr ymddiriededig ychwanegol yn hytrach na rheswm i wanhau gwiriadau hunaniaeth. Os mai'r nod yw cario cludiant allanol VPN trwy'r dirprwy, gwiriwch fod y ddau ben yn cefnogi'r cludiant hwnnw yn lle tybio y gall unrhyw wrandäwr SOCKS ei drosglwyddo.

Nid oes dim o hyn yn gwneud y cleient yn un ddeu-stac, ac nid oes angen hynny. Mae'n gwneud i un cymhwysiad gyrraedd un gwasanaeth trwy un trosglwyddwr, sy'n hawliad llai ac yn llawer haws ei wirio.