Ferbinings mei allinnich IPv6, tsjinst op IPv4: lit in SOCKS-proxy brêgje

Jo hawwe gjin adres yn 'e bestimmingsfamylje nedich om it te berikken, salang oft iets op 'e wei ree is om troch te jaan. De applikaasje ferbynt mei de proxy, en de proxy iepenet in twadde ferbining nei de bestimming. Dat binne twa sockets mei ûnôfhinklike adresfamyljes, en neat yn ien fan beide protokollen easket dat se oerienkomme. Dat is trochjaan op applikaasjenivo, gjin lânseigen IPv4-paad, en dat ferskil bepaalt wat wol en wat net wurkje sil. De twa trochinoar helje is hoe't in laptop beskreaun einiget as hawwend IPv4-ferbining wylst alles wat er hat in proxy is.

Twa sockets, twa adresfamyljes

In SOCKS5-oanfraach neamt de bestimming yn ien fan trije foarmen: in letterlik v4-adres, in letterlik v6-adres, of in namme foar de proxy om op te lossen. De oanfraach beskriuwt wêr't de proxy ferbine moat, net hoe't de klant-nei-proxy-ferbining derút sjocht.

Lês dy adrestypes as trije ûnôfhinklike karren binnen ien berjocht. In proxy dy't oer IPv6 berikber is, kin in IPv4-bestimmingssocket iepenje wannear't er wurkjende IPv4-útgong hat en syn belied de oanfraach tastiet. De SOCKS5-spesifikaasje definiearret se sûnder ienige ferwizing nei it ferfier fan 'e klant.

In kontrolearre SSH-foarbyld

Nim in SSH-host dy't jo tastean binne te brûken, dy't op IPv6 antwurdet en sels in HTTPS-tsjinst berikke kin dy't allinnich op v4 bestiet. De dynamyske trochstjoering fan OpenSSH set in lokale SOCKS-harker op jo masine wylst de oanmeldingssesje oer v6 rint.

ssh -6 -N -D 127.0.0.1:1081 -o ExitOnForwardFailure=yes [email protected]

De host en it akkount hjirboppe binne foarbylden, en de loopback-bining hâldt de harker op dizze kompjûter. Ferfang it net troch in wildcard-bining sadat in kantoar in net-autentisearre proxy diele kin. ExitOnForwardFailure=yes bestiet sadat in mislearre trochstjoering de sesje einiget ynstee fan in stil kommando eftergrûn rinne te litten.

Mei de sesje oan 'e gong sjocht de oanfraach der sa út:

curl --proxy socks5h://127.0.0.1:1081 https://v4-only.example/

De loopback-ferbining is gjin IPv4-ynternetpaad. Wat jo masine ferlit is de oanmeldingssesje oer v6, en de oare kant is wa't de bestimmingssocket iepenet. De foarm socks5h delegearret ek namme-oplossing nei dy kant, wat fan belang is as de klant gjin eigen IPv4-oplosserpaad hat.

Wat de bestimming eins sjocht

De bestimming sjocht it útgeande adres fan 'e trochjaan-der. Gjin adres dat fan jo laptop is, ferskynt dêr. In boarne-tastiene list op dy tsjinst moat de trochjaan-der neame. De logboeken sille it ferkear ek oan de trochjaan-der taskriuwe. Skriuw dat foar de audit yn it feroaringsregister, want in tastiene list boud om klantadressen hinne falt by de earste oanfraach.

De trochjaan-der is ek it plak dêr't de twa helten fan it petear sichtber binne, wat in nuttige eigenskip is by diagnostyk en in lêst as de trochjaan-der sûnder belied dield wurdt.

Dit is net DNS64 of NAT64

DNS64 antwurdet mei syntetisearre records dy't v4-bestimmings fertsjintwurdigje, en NAT64 skriuwt pakketten oer in konfigurearre paad. Gjin fan beide beskriuwt wat hjir bart, wêr't ien ferfierspetear einiget en in oar begjint en gjin syntetisearre adres it resultaat ferklearret. In slagge oanfraach seit dus neat oer hokker oersetstsjinsten jo leveransier eksploitearret, en de proxy kin gewoane NAT op syn eigen útgeande paad rinne litte.

Beide meganismen kinne yn itselde netwurk bestean, beskriuw dus de iene dy't jo echt ferifiearre hawwe ynstee fan de iene dy't it tichtst by klinkt.

Kennis fan 'e omfang foardat jo it tasizze

De dynamyske trochstjoering fan OpenSSH draacht TCP-ferbiningen, net willekeurich IP-ferkear, dus UDP, ICMP en elk protokol dat de proxy negearret hawwe in oar stipe ûntwerp nedich. Behâld SSH-hostkaai-ferifikaasje, de trochstjoeringsbeheiningen fan 'e tsjinner en HTTPS-sertifikaatfalidaasje, want de proxy is in ekstra fertroude dielnimmer, gjin reden om identiteitskontrôles te ferswakjen. As it doel is it bûtenste ferfier fan in VPN troch de proxy te dragen, ferifiearje dan dat beide einen dat ferfier stypje ynstee fan oan te nimmen dat elke SOCKS-harker it trochjaan kin.

Neat hjirfan makket de klant dûbelstapel, en neat hjirfan hoecht dat. It makket ien applikaasje ien tsjinst berikke troch ien trochjaan-der, wat in lytsere bewearing is en folle makliker te ferifiearjen.