「HTTP・SOCKS・透過プロキシ・UDP」の版間の差分

(同じ利用者による、間の6版が非表示)

1行目:

SOCKS・透過プロキシ・UDP-over-TCPなどを中心に、ネットワークの変更に使えるプロキシ関連の各種技術を雑にまとめた。

近年はGo製のものが多い。また検閲に対抗するためか、中国系（中国語でissueが投稿されているなど）のものが多い。gost, go-proxy, hysteria, txthinking/socks5, things-go/socks5などはいずれもその2つに当てはまる。たまにロシア系もある。

35行目:

37行目:

==== shadowsocks ====

~~shadowsocksはSOCKSに暗号化を施した独自プロトコルで、いくつかの実装がある。~~[https://github.com/shadowsocks/shadowsocks-rust https://github.com/shadowsocks/shadowsocks-rust]などが主流とみられる。

SOCKSに暗号化を施した独自プロトコルで、いくつかの実装がある。[https://github.com/shadowsocks/shadowsocks-rust https://github.com/shadowsocks/shadowsocks-rust]などが主流とみられる。

~~VPN以外だとこれが現在主流と思われる。~~

VPN以外のGFW回避ソフトウェアだとおそらくもっともメジャー。

サーバーとクライアントに分かれていて、クライアント側では透過プロキシにも対応している。

53行目:

55行目:

HTTP・HTTPSのリバースプロキシで、host（HTTPの場合）あるいはsni（HTTPSの場合）に基づいてアクセスを振り分けるものをSNI Proxyと呼ぶことがあるらしい。NginxやHAProxyのような汎用のプロキシサーバーでも使える機能だが、これを専門とするソフトウェアもある。

* ~~こんな使い方もある→~~ [https://turgenev.hatenablog.com/entry/2025/03/21/020550 【Android】NextDNSをアプリごとに有効無効切り替え+Tailscale経由の自宅鯖を使ってControl D風のトラフィック転送 ~~-~~ turgenev’s blog]

* こんな使い方もある（自分の記事）→ [https://turgenev.hatenablog.com/entry/2025/03/21/020550 【Android】NextDNSをアプリごとに有効無効切り替え+Tailscale経由の自宅鯖を使ってControl D風のトラフィック転送 - turgenev’s blog]

76行目:

78行目:

== SOCKSプロキシサーバー ==

ここにあげたものは特に注記がなければUDP（ただし筆者が念頭に置いているのはAssociateのみで、Bindに関してはほぼ調べていない）に対応している。

==== Dante ====

[https://www.inet.no/dante/index.html ~~https://www.inet.no/dante/index.html~~]

[https://www.inet.no/dante/index.html Dante - A free SOCKS server]

企業（Inferno Nettverk A/S）によるオープンソースなSOCKS5実装で、有償サポートまであるらしい。見るからに古臭いHPで、メンテされているかどうか不安になるが、つい最近2024年末にもアップデートがあり、次期バージョンの計画についても記載されている。

99行目:

103行目:

[https://github.com/ge9/socks-with-udp-over-ssh https://github.com/ge9/socks-with-udp-over-ssh]

TCP接続（あるいは任意のバイトストリーム）の上にUDP付きのSOCKS5を通すために自分が実装したツール。サーバー側とクライアント側に分かれている。しかし実装した後にgostで同じことができることに気付いた。

これ自体はSOCKS5サーバーではなく、TCP接続（あるいは任意のバイトストリーム）の上にUDP付きのSOCKS5を通すために自分が実装したツール。サーバー側とクライアント側に分かれている。しかし実装した後にgostで同じことができることに気付いた。

経緯・使い方などは[https://turgenev.hatenablog.com/entry/2024/05/12/231208 root権限のないssh上にUDPを通す方法について（ポートフォワード、SOCKS5プロキシなど） - turgenev’s blog]に書いてある。

==== 3proxy ====

[https:/~~/github.com/3proxy~~/3proxy ~~https://github~~.~~com~~/3proxy~~/3proxy] [https~~:~~//3proxy.ru/ https://3proxy.ru/~~]

[https://3proxy.ru/ 3proxy tiny free proxy server for Windows, Linux, Unix: SOCKS, HTTP, FTP proxy]

~~ロシア系。エラーメッセージなどがかなり不親切だが、ちゃんと動くソフト。~~

[https://github.com/3proxy/3proxy https://github.com/3proxy/3proxy]

ロシア系。SOCKS・HTTP・POP3・SMTPなどいくつかのプロキシを含む。エラーメッセージなどがかなり不親切だが、結構多機能で、ちゃんと動くソフト。<code>3proxy</code>というメインの実行ファイルとあわせて、各プロキシに対応した<code>socks</code>や<code>proxy</code>といった検索性の低い名前の実行ファイルがいくつか含まれているちょっと謎の構成。

==== fast-socks5 ====

116行目:

124行目:

[https://github.com/txthinking/socks5 https://github.com/txthinking/socks5]

starは700前後。hysteriaやtrojan-~~goなどいくつかの大きなプロジェクトで使われており、go製のSOCKS5関連ライブラリでは一番メジャーか。~~

starは700前後。hysteriaやtrojan-goなどいくつかの大きなプロジェクトで使われており、現在もメンテされているgo製のSOCKS5関連ライブラリでは一番メジャーか。

クライアントもある。

173行目:

181行目:

同じくWireproxyで使用が検討された（[https://github.com/whyvl/wireproxy/issues/15 https://github.com/whyvl/wireproxy/issues/15]）が結局使用されず。

=== ~~tun系 =~~==

== 透過SOCKSプロキシクライアント ==

~~==== tun2proxy ====~~

[https://turgenev.hatenablog.com/entry/2024/03/25/160556 透過プロキシを用いて特定アプリケーションのTCP・UDP通信をSOCKS5経由にする方法（Windows・Linux（iptables TPROXY）・Androidなど） - turgenev’s blog]で扱った内容。

~~[https://github.com/tun2proxy/tun2proxy https://github.com/tun2proxy/tun2proxy]~~

バックにSOCKS(SOCKS5)プロキシを用いてTCP・UDPのレイヤで透過プロキシを行うもの。VPNと同等の動作で、基本的には管理者権限（Linuxの場合、最低でもCAP_NET_ADMIN）が必要。

~~~~

~~== 透過SOCKSプロキシクライアント ==~~

~~バックにSOCKS(SOCKS5)プロキシを用いてTCP・UDPのレイヤで透過プロキシを行うもの。基本的には管理者権限（最低でもCAP_NET_ADMIN）が必要。~~

以下のいずれも、ドメイン解決にはプロキシが適用されない（Linux向けの2つはできなくはないかもしれないが、しづらい）ことに注意。

==== redsocks ====

188行目:

194行目:

[https://github.com/semigodking/redsocks semigodking/redsocks] （fork元の[https://github.com/darkk/redsocks darkk/redsocks]はメンテされておらず、TCPのTPROXYに非対応）

*~~nix対応~~

*nix対応。BSD系で動かすことができたという話は[https://turgenev.hatenablog.com/entry/2024/06/10/134017 FreeBSD/OpenBSD/NetBSDで透過プロキシのredsocksを動かしてみる - turgenev’s blog]に書いた。

==== hev-socks5-tproxy ====

[https://github.com/heiher/hev-socks5-tproxy https://github.com/heiher/hev-socks5-tproxy] Linux向け。redsocksより若干知名度は下がるものの、きちんとメンテされている。

194行目:

204行目:

[https://github.com/wiresock/proxifyre https://github.com/wiresock/proxifyre] Windows用の透過SOCKSクライアント。管理者権限必要。TCP/UDP両方対応。インストールも簡単で、よくできている。

~~==== hev-socks5-tproxy ====~~

~~[https://github.com/heiher/hev-socks5-tproxy https://github.com/heiher/hev-socks5-tproxy] Linux向け。redsocksより若干知名度は下がるものの、きちんとメンテされている。~~

203行目:

209行目:

[https://www.proxifier.com/ https://www.proxifier.com/] 見た感じ機能は十分そうだが、有料なので試していない。

== VPN(tun) ==

上記と似ているが、VPNとして動作するもの。プロセスが特定しづらい場合・特定のIPアドレス範囲だけで十分な場合などに効果を発揮する。

以下は特筆しない限りUDP Associateに対応。もちろん、pingなどは通らない。

==== tun2proxy ====

[https://github.com/tun2proxy/tun2proxy https://github.com/tun2proxy/tun2proxy]

Rust製。starは700ほど。SOCKSとHTTPをtunにしてくれる。

==== hev-socks5-tunnel ====

[https://github.com/heiher/hev-socks5-tunnel https://github.com/heiher/hev-socks5-tunnel]

hev-socks5-tproxyの作者による。Androidアプリの[https://github.com/heiher/sockstun https://github.com/heiher/sockstun]もここから。

== ライブラリ関数ハック系 ==

216行目:

241行目:

後述のDanteの一部。UDP/TCP両対応。唯一のUDP対応のものである。

<syntaxhighlight lang="go">route {

from: 0.0.0.0/0 to: 0.0.0.0/0 via: 192.168.1.1 port = 1080

}</syntaxhighlight>

こんな感じの<code>/etc/socks.conf</code>を作るか、<code>SOCKS5_SERVER=192.168.1.1:1080 socksify curl http://ipv4.icanhazip.com</code> とかでもよい。

Macでも動くはずだが、筆者が唯一試したMac環境ではcurlに対してさえうまく動作しなかった（socksifyを使わないのと全く同様に動作するだけだった）（<code>DYLD_FORCE_FLAT_NAMESPACE=1</code>は指定している）。

251行目:

283行目:

== HTTPプロキシ ==

Squid, ~~Privoxyなどが有名~~

Squid, Privoxyなどが有名。

Squidには透過プロキシ機能があるが、redsocksなどとは動作の細かい部分が異なる。[https://turgenev.hatenablog.com/entry/2025/03/25/171736 squidで透過プロキシ（intercept, tproxy）を動かす - turgenev’s blog]に書いた。

== localhost・LANなどへのアクセス制限 ==

典型的な設定例として、localhostやプライベートIPへのアクセスを制限する設定をSquid・Dante・3proxyそれぞれに関して紹介しておく。

==== squid ====

<code>to_localhost</code>はbuilt-inとして定義されていて、<code>localnet</code>（=srcがlocalnet）についてもUbuntuパッケージで提供されるsquid.confには入っているのだが、localnetがdstであるものとなるとACLが定義されていない。

<code>deny to_localhost</code>と<code>deny to_linklocal</code>は定義済みという前提で、以下のように書くとよい。

<syntaxhighlight lang="go">acl to_localnet dst 0.0.0.1-0.255.255.255

acl to_localnet dst 10.0.0.0/8

acl to_localnet dst 100.64.0.0/10

acl to_localnet dst 172.16.0.0/12

acl to_localnet dst 192.168.0.0/16

acl to_localnet dst fc00::/7

http_access deny to_localnet</syntaxhighlight>

==== 3proxy ====

IPv4のみ対応。

<syntaxhighlight lang="go">deny * * 127.0.0.0/8,0.0.0.1-0.255.255.255,10.0.0.0/8,100.64.0.0/10,169.254.0.0/16,172.16.0.0/12,192.168.0.0/16 * * * *

allow *</syntaxhighlight>

==== dante ====

IPv4のみ対応。squid・3proxyの場合と違って0.0.0.0もblockしてしまっているが、そもそも使わないので問題ないはず。

<syntaxhighlight lang="go">client pass {

from: 0/0 to: 0/0

}

socks block {

from: 0/0 to: 127.0.0.0/8 # localhost

protocol: tcp udp