RFC 1982 SOCKS5 说明[1]

组织：中国互动出版网（http://www.china-pub.com/）
rfc文档中文翻译计划（http://www.china-
pub.com/compters/emook/aboutemook.htm）
e-mail：ouyang@china-pub.com
译者：radeon（radeon     bise@cmmail.com）
译文发布时间：2001-6-18
版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，
但必须保留本文档的翻译及版权信息。




network working group	m. leech
request for comments:1929	bell-northern research ltd
category: standard track	m. ganis
                                        	 international business machines
                                         	                         y. lee
	                                                  nec systems laboratory
                                                  	              r. kuris
	                                                       unify corporation
                                                        	       d. koblas
	                                                  independent consultant
                                                     	           l. jones
	                                                 hewlett-packard company
                                                 	march 1996

socks v5

本备忘录状态：
本文档讲述了一种internet社区的internet标准跟踪协议，它需要进一步进行讨论和建议以
得到改进。请参考最新版的“internet正式协议标准” (std1)来获得本协议的标准化程度和状
态。本备忘录的发布不受任何限制。
知识背景
这个备忘录描述了从同一协议的前一版本(版本4[1])发展而来的一个协议。这个新的协议起
源于当前的一些讨论和原型的实现(active discussions and prototype implementations)。关键的贡
献人有：marcus leech: bell-northern research, david koblas: independent consultant, ying-da 
lee: nec systems laboratory, lamont jones: hewlett-packard company, ron kuris: unify 
corporation, matt ganis: international business machines。

目录

1.介绍	2
2．现有的协议	2
3．基于tcp协议的客户	3
4．请求	3
5．地址	4
6．应答	4
7．基于udp协议的客户	6
8.  安全性考虑	7
9.  参考书目	7

1.介绍
利用网络防火墙可以将组织内部的网络结构从外部网络如internet中有效地隔离，这种方法
在许多网络系统中正变得流行起来。这种防火墙系统通常以应用层网关的形式工作在两个网络之
间，提供telnet、ftp、smtp等的接入。随着越来越多的使全球信息查找更容易的复杂的应用层协
议的出现，有必要提供一个通用框架来使这些协议安全透明地穿过防火墙。而且在实际应用中还需
要一种安全的认证方式用以穿越防火墙。这个要求起源于两个组织的网络中客户/服务器关系的出
现，这个关系需要得到控制并要求有安全的认证。
在这儿所描述的协议框架是为了让使用tcp和udp的客户/服务器应用程序更方便安全地使用
网络防火墙所提供的服务所设计的。这个协议从概念上来讲是介于应用层和传输层之间的“中介层
(shim-layer)”，因而不提供如传递icmp信息之类由网络层网关的所提供的服务。


2．现有的协议
当前存在一个协议socks 4，它为telnet、ftp、http、wais和gopher等基于tcp协议的客
户/服务器程序提供了一个不安全的防火墙。而这个新的协议扩展了socks v4，以使其支持udp、
框架规定的安全认证方案、地址解析方案(addressing scheme)中所规定的域名和ipv6。为了实现
这个socks协议，通常需要重新编译或者重新链接基于tcp的客户端应用程序以使用socks库中相
应的加密函数。
注意：
除非特别注明，所有出现在数据包格式图中的十进制数字均以字节表示相应域的长度。如
果某域需要给定一个字节的值，用x'hh'来表示这个字节中的值。如果某域中用到单
词'variable'，这表示该域的长度是可变的，且该长度定义在一个和这个域相关联（1 ╟ 2
个字节）的域中，或一个数据类型域中。


3．基于tcp协议的客户
当一个基于tcp协议的客户端希望与一个只能通过防火墙可以到达的目标(这是由实现所决定
的)建立连接，它必须先建立一个与socks服务器上socks端口的tcp连接。通常这个tcp端口是
1080。当连接建立后，客户端进入协议的“握手(negotiation)”过程：认证方式的选择，根据选
中的方式进行认证，然后发送转发的要求。socks服务器检查这个要求，根据结果，或建立合适的
连接，或拒绝。
除非特别注明，所有出现在数据包格式图中的十进制数字均以字节表示相应域的长度。如果某
域需要给定一个字节的值，用x'hh'来表示这个字节中的值。如果某域中用到单
词'variable'，这表示该域的长度是可变的，且该长度定义在一个和这个域相关联（1 ╟ 2个
字节）的域中，或一个数据类型域中。
客户端连到服务器后，然后就发送请求来协商版本和认证方法：

ver
nmethods
methods
1
1
1 to 255
这个版本的socks协议中，ver字段被设置成x'05'。nmethods字段包含了在methods字段中
出现的方法标示的数目（以字节为单位）。
服务器从这些给定的方法中选择一个并发送一个方法选中的消息回客户端：
ver
method
1
1
如果选中的消息是x'ff'，这表示客户端所列出的方法列表中没有一个方法被选中，客户端
必须关闭连接。
当前定义的方法有：
?	x'00'		不需要认证
?	x'01'   		gssapi
?	x'02'   		用户名/密码
?	x'03' -- x'7f'  	由iana分配
?	x'80' -- x'fe' 	为私人方法所保留的
?	x'ff'   	 	没有可以接受的方法
然后客户和服务器进入由选定认证方法所决定的子协商过程(sub-negotiation)。各种不同的
方法的子协商过程的描述请参考各自的备忘录。
开发者如果要为自己的方法得到一个方法号，可以联系iana。可以参考关于已经被分配号码
的文档以得到当前所有方法的列表和相应的协议。
符合本文档的socks v5实现必须支持gssapi，并且在将来支持用户名/密码认证方式。


4．请求
一旦子协商过程结束后，客户端就发送详细的请求信息。如果协商的方法中有以完整性检查和
/或安全性为目的的封装，这些请求必须按照该方法所定义的方式进行封装。
socks请求的格式如下：
ver
cmd
rsv  
atyp
dst.addr
dst.port
1
1
x'00'
1
variable
2
	其中
?	ver    协议版本: x'05'
?	cmd
?	connect：x'01'
?	bind：x'02'
?	udp associate：x'03'
?	rsv    保留
?	atyp   后面的地址类型
?	ipv4：x'01'
?	域名：x'03'
?	ipv6：x'04''
?	dst.addr   目的地址
?	dst.port   以网络字节顺序出现的端口号
socks服务器会根据源地址和目的地址来分析请求，然后根据请求类型返回一个或多个应答。

5．地址
atyp字段中描述了地址字段(dst.addr，bnd.addr)所包含的地址类型：
?	x'01'
基于ipv4的ip地址，4个字节长
?	x'03'
基于域名的地址，地址字段中的第一字节是以字节为单位的该域名的长度，没有结尾的nul字
节。
?	x'04'
基于ipv6的ip地址，16个字节长


6．应答
一旦建立了一个到socks服务器的连接，并且完成了认证方式的协商过程，客户机将会发送一
个socks请求信息给服务器。服务器将会根据请求，以如下格式返回：
ver
rep
rsv
atyp
bnd.addr
bnd.port
1
1
x'00'
1
variable
2
   其中：
?	ver    协议版本: x'05'
?	rep    应答字段:
?	x'00' 	成功
?	x'01' 	普通的socks服务器请求失败
?	x'02' 	现有的规则不允许的连接
?	x'03' 	网络不可达
?	x'04' 	主机不可达
?	x'05'	连接被拒
?	x'06' 	ttl超时
?	x'07' 	不支持的命令
?	x'08' 	不支持的地址类型
?	x'09' ╟ x'ff' 	未定义
?	rsv    保留
?	atyp   后面的地址类型
?	ipv4：x'01'
?	域名：x'03'
?	ipv6：x'04'
?	bnd.addr       服务器绑定的地址
?	bnd.port       以网络字节顺序表示的服务器绑定的段口
标识为rsv的字段必须设为x'00'。
如果选中的方法中有以完整性检查和/或安全性为目的的封装，这些应答必须按照该方法所定
义的方式进行封装。

connect
在对一个connect命令的应答中，bnd.port包含了服务器分配的用来连到目标机的端口号，
bnd.addr则是相应的ip地址。由于socks服务器通常有多个ip，应答中的bnd.addr常和客户端
连到socks服务器的那个ip不同。
socks服务器可以利用dst.addr和dst.port，以及客户端源地址和端口来对一个connect请
求进行分析。

bind
bind请求通常被用在那些要求客户端接受来自服务器的连接的协议上。ftp是一个典型的例
子。它建立一个从客户端到服务器端的连接来执行命令以及接收状态的报告，而使用另一个从服务
器到客户端的连接来接收传输数据的要求(如ls，g