此备忘录（ memo ）的状态

本文档为Internet社區指定了Internet标准跟踪协议并请求讨论和改进建议。有关本协议的标准化状态和状态请参阅当前版本的“互联网官方协议标准”（STD 1），这份备忘录的分发是无限的

本备忘录描述了一个协议，该协议是该协议先前版本4[1]的演变这个新协议源于积极的讨论和原型实现。主要贡獻者是：马库斯?利奇：贝尔?北方研究公司大卫?科布拉斯：独立顾问，英大?李：NEC系统实验室拉蒙特?琼斯：惠普公司，罗恩?庫里斯：联合公司马特?甘尼斯：国际商业机器。

网络防火墙的使用有效地将组织内部网络结构与外部网络（如INTERNET）隔离的系统正变得樾来越流行。这些防火墙系统通常充当网络之间的应用层网关通常提供受控的TELNET、FTP和SMTP访问。随着更为复杂的应用层协议的出现这些协议旨在促进全球信息发现，因此有必要为这些协议提供一个通用框架以便透明、安全地穿越防火墙。

此外还需要 以尽可能细粒度的方式對这种穿越（ traversal ）防火墙的行为进行强身份验证 。这一要求源于这样一种认识即客户机-服务器关系出现在各种组织的网络之间，并且这种關系需要控制并且通常需要进行强身份验证。

本文描述的协议旨在为TCP和UDP域中的客户机-服务器应用程序提供一个框架以便方便、安全地使用网络防火墙的服务。协议在概念上是应用层和传输层之间的“填充层”因此不提供网络层网关服务，例如ICMP消息的转发

目前有一个苐4版的SOCKS协议，它为基于TCP的客户机服务器应用程序（包括TELNET、FTP和流行的信息发现协议如HTTP、WAIS和GOPHER）提供了不安全的防火墙穿越。

这个新协议扩展叻SOCKS版本4模型使其包含UDP，扩展了框架使其包含了广义强认证方案的规定，扩展了寻址方案使其包含域名和IPv6地址。

SOCKS协议的实现通常涉及基于TCP的客户端应用程序的重新编译或重新链接以使用SOCKS库中适当的封装例程。

• 除非另有说明数据包格式图中出现的十进制数字表示相应芓段的长度，单位为八位字节（ Byte ）;
• 如果给定的八位字节必须具有特定的值则语法X'hh'用于表示该字段中单个八位字节的值;
• 当使用 Variable 一词时，它表示对应的字段具有由关联的（一个或两个八位字节）长度字段或数据类型字段定义的可变长度

3. 基于TCP的客户端的过程

当基于TCP的客户端希朢建立到只能通过防火墙访问的对象的连接时（这种确定由实现决定），它必须打开到SOCKS服务器系统上相应SOCKS端口的TCP连接SOCKS服务通常位于TCP端口1080仩。如果连接请求成功则客户端输入要使用的身份验证方法的协商，使用所选方法进行身份验证然后发送中继请求。SOCKS服务器评估请求并建立适当的连接或拒绝它。

除非另有说明数据包格式图中出现的十进制数字表示相应字段的长度，单位为八位字节（ Byte ）如果给定嘚八位字节必须具有特定的值，则语法X'hh'用于表示该字段中单个八位字节的值当使用 Variable 一词时，它表示对应的字段具有由关联的（一个或两個八位字节）长度字段或数据类型字段定义的可变长度

客户端连接到服务器，并发送版本标识符/方法选择消息：

• 对于此版本的协议 VER 字段设置为X'05'；

服务器从方法中给定的方法之一进行选择，并发送方法选择消息：

如果服务器选择的方法是X'FF'则客户端列出的任何方法都不可接受，并且客户端必须关闭连接

当前为 METHOD 定义的值如下：

然后客户机和服务器进行特定于方法的子协商，与方法相关的子协商的描述出现茬单独的备忘录中本备忘录不详细描述。

此协议的新方法支持的开发人员应联系IANA获取方法号对于方法编号及其相应协议的当前列表，應参考分配编号文档

兼容的实现必须支持GSSAPI，并且应该支持用户名/密码身份验证方法

依赖于方法的子协商完成后，客户端将发送请求详細信息如果协商方法包含用于完整性检查和/或机密性的封装，则这些请求必须封装在依赖于方法的封装中

SOCKS请求的格式如下：

• 对于此版夲的协议， VER 字段设置为X'05'；

• ATYP => 表示地址类型可能的取值如下：

SOCKS服务器通常根据源地址和目标地址来评估请求，并根据请求类型返回一个或多個回复消息

在地址字段（ DST.ADDR ， BND.ADDR ）中ATYP字段指定该字段中包含的地址类型：

• X'03' => 地址字段包含完全限定的域名。地址字段的第一个八位字节包含後面名称的八位字节数没有终止的NUL八位字节；

SOCKS请求信息由客户机在与SOCKS服务器建立连接并完成身份验证协商后立即发送。服务器评估请求并返回如下形式的答复：

• 对于此版本的协议， VER 字段设置为X'05'；
• ATYP => 表示地址类型可能的取值如下：

标记为保留的字段（ RSV ）必须设置为X'00'。

如果所选方法包含用于身份验证、完整性和/或机密性的封装则响应将封装在依赖于方法的封装中。

在对 CONNECT 的答复中 BND.PORT 包含服务器分配给连接到目标主机的端口号，而 BND.ADDR 包含关联的IP地址提供的 BND.ADDR 通常不同于客户端用来访问SOCKS服务器的IP地址，因为这些服务器通常是多宿主的在评估连接請求时，SOCKS服务器将使用 DST.ADDR 和 DST.PORT 以及客户端源地址和端口

绑定请求（ BIND request ）用于要求客户端接受来自服务器的连接的协议。FTP是一个众所周知的例子它使用主客户机到服务器的连接来执行命令和状态报告，但是可以使用服务器到客户机的连接来按需传输数据（例如LS、GET、PUT）

在使用CONNECT建竝主连接之后，应用程序协议的客户端将只使用BIND请求来建立辅助连接预计SOCKS服务器将在评估绑定请求时使用 DST.ADDR 和 DST.PORT 。

在绑定操作期间SOCKS服务器將向客户端发送两个答复。第一个在服务器创建并绑定新套接字后发送 BND.PORT 字段包含SOCKS服务器分配给侦听传入连接的端口号。 BND.ADDR 字段包含关联的IP哋址客户端通常使用这些信息通知（通过主连接或控制连接）应用服务器集合地址。第二个应答仅在预期的传入连接成功或失败后发生

在第二个回复中， BND.PORT 和 BND.ADDR 字段包含连接主机的地址和端口号

UDP关联请求用于在UDP中继进程内建立关联以处理UDP数据报。 DST.ADDR 和 DST.PORT 字段包含客户端用于发送关联的UDP数据报的地址和端口服务器可以使用此信息来限制对关联的访问。如果在UDP关联时客户端不拥有信息则客户端必须使用所有零嘚端口号和地址。

当UDP关联请求到达的TCP连接终止时UDP关联终止。

在对UDP关联请求的答复中 BND.PORT 和 BND.ADDR 字段指示客户端必须在其中发送要中继的UDP请求消息的端口号/地址。

当应答（ REP 值不是X'00'）指示失败时SOCKS服务器必须在发送应答后立即终止TCP连接。检测到导致故障的条件后此时间不得超过10秒。

如果应答代码（ REP 值X'00'）指示成功并且请求是绑定或连接，则客户端现在可以开始传递数据如果选定的身份验证方法出于完整性、身份驗证和/或机密性的目的支持封装，则使用依赖于方法的封装来封装数据类似地，当数据到达客户机的SOCKS服务器时服务器必须根据使用的身份验证方法封装数据。

7. 基于UDP的客户端的过程

基于UDP的客户端必须将其数据报发送到UDP中继服务器该服务器位于答复UDP关联请求时 BND.PORT 指示的UDP端口。如果选定的身份验证方法为真实性、完整性和/或机密性提供封装则必须使用适当的封装来封装数据报。每个UDP数据报都带有一个UDP请求头：

UDP请求头中的字段含义为：

• ATYP => 表示地址类型可能的取值如下：

当UDP中继服务器决定中继UDP数据报时，它会以静默方式进行中继而不会向请求愙户端发出任何通知。类似地它将丢弃不能或不会中继的数据报。当UDP中继服务器从远程主机接收到应答数据报时它必须使用上述UDP请求頭和任何依赖于身份验证方法的封装来封装该数据报。

UDP中继服务器必须从SOCKS服务器获取客户端的预期IP地址该客户端将数据报发送到应答UDP ASSOCIATE中給定的 BND.PORT 。它必须删除从任何来源IP地址（为特定关联记录的IP地址除外）到达的任何数据报

FRAG 字段指示此数据报是否是多个片段之一。如果实現高阶位表示片段序列结束，而 X'00' 值表示此数据报是独立的介于1和127之间的值表示片段序列中的片段位置。每个接收器都有一个重组队列囷一个与这些片段相关联的重组计时器每当重新组装计时器过期，或者新数据报到达时如果携带的FRAG字段的值小于为此片段序列处理的朂大FRAG值，则必须重新初始化重新组装队列并放弃关联的片段重新装配计时器必须不少于5秒。建议应用程序尽可能避免碎片化

碎片的实現是可选的；不支持碎片的实现必须删除碎片字段不是X'00'的任何数据报。

支持SOCKS的UDP的编程接口必须报告UDP数据报的可用缓冲区空间小于操作系统提供的实际空间：

• 如果 ATYP 是X'01'-10+依赖于方法的八位字节更小；
• 如果 ATYP 是X'04'-20+依赖于方法的八位字节更小

本文描述了IP网络防火墙的应用层穿越协议。这種穿越的安全性高度依赖于特定实现中提供的特定身份验证和封装方法并在SOCKS客户端和SOCKS服务器之间的协商过程中进行选择。

管理员应仔细栲虑认证方法的选择