Verbindung nëmmen IPv6, Service IPv4: loosst e SOCKS-Proxy iwwerbrécken

Dir braucht keng Adress aus der Famill vum Zil, fir et z'erreechen, soulaang eppes um Wee bereet ass weiderzeleeden. D'Applikatioun verbënnt sech mam Proxy, an de Proxy mécht eng zweet Verbindung zum Zil op. Dat sinn zwou Sockets mat onofhängege Adressfamillen, an näischt an engem vun deenen zwee Protokoller verlaangt, datt se iwwerenee stëmmen. Dat ass Weiderleedung op Applikatiounsiveau, keen nativen IPv4-Wee, an deen Ënnerscheed entscheet, wat wäert funktionéieren a wat net. D'Verwechslung vun deenen zwee ass de Grond, firwat en Laptop als mat IPv4-Konnektivitéit beschriwwe gëtt, wou all wat en huet e Proxy ass.

Zwou Sockets, zwou Adressfamillen

Eng SOCKS5-Ufro nennt d'Zil an enger vun dräi Formen: eng literale v4-Adress, eng literale v6-Adress oder en Numm, deen de Proxy misst opléisen. D'Ufro beschreift, wou de Proxy soll verbannen, net wéi d'Verbindung vum Client zum Proxy ausgesäit.

Liest dës Adresstypen als dräi onofhängeg Wieler bannent enger Noriicht. En Proxy, deen iwwer IPv6 erreechbar ass, kann e Socket fir en IPv4-Zil opmaachen, wann en e funktionéierende IPv4-Ausgang huet a seng Politik d'Ufro erlaabt. D'SOCKS5-Spezifikatioun definéiert se ganz ouni Bezuch op den Transport vum Client.

E kontrolléierte SSH-Beispill

Hëlt en SSH-Host, deen Dir däerft benotzen, deen op IPv6 äntwert an och selwer en HTTPS-Service erreeche kann, deen nëmmen op v4 existéiert. D'dynamesch Weiderleedung vun OpenSSH setzt e lokalen SOCKS-Lauschterer op Ärem Rechner, während d'Login-Sessioun iwwer v6 leeft.

ssh -6 -N -D 127.0.0.1:1081 -o ExitOnForwardFailure=yes [email protected]

Den Host an de Kont uewe si Beispiller, an d'Loopback-Bindung hält de Lauschterer op dësem Computer. Ersetzt se net duerch eng Wildcard-Bindung, fir datt en Büro en net authentifizéierte Proxy deele kann. ExitOnForwardFailure=yes existéiert, fir datt eng feelgeschloe Weiderleedung d'Sessioun fäerdeg mécht, amplaz e stille Kommando am Hannergrond lafen ze loossen.

Während d'Sessioun leeft, gesäit d'Ufro sou aus:

curl --proxy socks5h://127.0.0.1:1081 https://v4-only.example/

D'Loopback-Verbindung ass keen IPv4-Internetwee. Wat Ären Rechner verléisst, ass d'Login-Sessioun iwwer v6, an déi aner Säit mécht de Socket vum Zil op. D'Form socks5h delegéiert och d'Nummopléisung un déi Säit, wat zielt, wann de Client keen eegene IPv4-Opleisungswee huet.

Wat d'Zil tatsächlech gesäit

D'Zil gesäit d'Ausgangsadress vun der Weiderleedung. Keng Adress, déi Ärem Laptop gehéiert, erschéngt do. Eng Quell-Erlaabnislëscht op deem Service muss d'Weiderleedung nennen. Seng Loge wäerten de Verkéier och der Weiderleedung zousträifen. Schreift dat virun der Auditioun an de Changementsrecord, well eng Erlaabnislëscht, déi ëm Clientadressen opgebaut ass, beim éischten Ufro versot.

D'Weiderleedung ass och d'Plaz, wou déi zwou Hälften vum Gespréich siichtbar sinn, wat eng nëtzlech Eegeschaft bei der Diagnos an eng Belaaschtung ass, wann d'Weiderleedung ouni Politik gedeelt gëtt.

Dëst ass net DNS64 oder NAT64

DNS64 äntwert mat synthetiséierte Rekorder, déi v4-Ziler ersetzen, an NAT64 schreift Paketen laanscht e konfiguréierte Wee ëm. Keng vun deenen zwee beschreift, wat hei geschitt, wou ee Transportgespréich ophält an en anert ufänkt an keng synthetiséiert Adress d'Resultat erkläert. Eng erfollegräich Ufro seet dofir näischt doriwwer, wéi eng Iwwersetzungsservicer Äre Provider bedreift, an de Proxy kann gewéinlech NAT op sengem eegenen Ausgang lafen.

Béid Mechanismen kënnen am selwechte Reseau existéieren, also beschreift deen, den Dir tatsächlech verifizéiert hutt, amplaz deen, deen am noosten kléngt.

Kennt den Ëmfang, ier Dir en versprécht

D'dynamesch Weiderleedung vun OpenSSH dréit TCP-Verbindungen, net beliebegen IP-Verkéier, dofir brauchen UDP, ICMP an all Protokoll, deen de Proxy ignoréiert, en anert ënnerstëtzt Design. Behält d'SSH-Hostschlësselprüfung, d'Weiderleedungsrestriktioune vum Server an d'HTTPS-Zertifikatsvalidéierung, well de Proxy en zousätzleche vertrauenswürdege Participante ass, keen Grond fir Identitéitsprüfungen ze schwächen. Wann d'Zil ass, den äusseren Transport vun engem VPN iwwer de Proxy ze dréien, verifizéiert, datt béid Enden deen Transport ënnerstëtzen, amplaz unzehuelen, datt all SOCKS-Lauschterer e weiderleet.

Näischt vun dësem mécht de Client duebelstack, an näischt dovunner ass néideg. Et mécht, datt eng Applikatioun ee Service iwwer eng Weiderleedung erreecht, wat eng méi kleng Ausso an engem vill méi einfach ze verifizéieren ass.