应答处理 
当一个应答(REP值不等于00)指明出错时，SOCKS服务器必须在发送完应答消息后一小段时间
内终止TCP连接。这段时间应该在发现错误后少于10秒。
如果一个应答(REP值等于00)指明成功，并且请求是一个BIND或CONNECT时，客户端就可以
开始发送数据了。如果协商的认证方法中有以完整性、认证和/或安全性为目的的封装，这些请求
必须按照该方法所定义的方式进行封装。类似的，当以客户机为目的地的数据到达SOCKS服务器
时，SOCKS服务器必须用正在使用的方法对这些数据进行封装。

7．基于UDP协议的客户
在UDP ASSOCIATE应答中由BND.PORT指明了服务器所使用的UDP端口，一个基于UDP协议的
客户必须发送数据报至UDP转发服务器的该端口上。如果协商的认证方法中有以完整性、认证和/
或安全性为目的的封装，这些数据报必须按照该方法所定义的方式进行封装。每个UDP数据报都有
一个UDP请求头在其首部：
RSV
FRAG
ATYP
DST.ADDR
DST.PORT
DATA
2
1
1
Variable
2
Variable
在UDP请求头中的字段是：

? RSV  保留 X''''0000''''
? FRAG    当前的分段号
? ATYP   后面的地址类型
? IPV4：X''''01''''
? 域名：X''''03''''
? IPV6：X''''04''''
? DST.ADDR   目的地址
? DST.PORT   以网络字节顺序出现的端口号
? DATA     用户数据
当一个UDP转发服务器转发一个UDP数据报时，不会发送任何通知给客户端；同样，它也将丢
弃任何它不能发至远端主机的数据报。当UDP转发服务器从远端服务器收到一个应答的数据报时，
必须加上上述UDP请求头，并对数据报进行封装。
UDP转发服务器必须从SOCKS服务器得到期望的客户端IP地址，并将数据报发送到UDP
ASSOCIATE应答中给定的端口号。如果数据报从任何IP地址到来，而该IP地址与该特定连接中指
定的IP地址不同，那么该数据报会被丢弃。
FRAG字段指明数据报是否是一些分片中的一片。如果SOCKS服务器要实现这个功能，X''''00''''
指明数据报是独立的；其他则越大越是数据报的尾端。介于1到127之间的值说明了该分片在分片
序列里的位置。每个接收者都为这些分片提供一个重组队列和一个重组的计时器。这个重组队列必
须在重组计时器超时后重新初始化，并丢弃相应的数据报。或者当一个新到达的数据报有一个比当
前在处理的数据报序列中最大的FRAG值要小时，也必须重新初始化从组队列。重组计时器必须小
于5秒。只要有可能，应用程序最好不要使用分片。
分片的实现是可选的；如果某实现不支持分片，所有FRAG字段不为0的数据报都必须被丢
弃。
一个SOCKS的UDP编程界面(The programming interface for a SOCKS-aware UDP)必须报告
当前可用UDP数据报缓存空间小于操作系统提供的实际空间。
? 如果 ATYP是 X''''01'''' - 10+method_dependent octets smaller
? 如果 ATYP是X''''03'''' - 262+method_dependent octets smaller
? 如果 ATYP是X''''04'''' - 20+method_dependent octets smaller

8.  安全性考虑
这篇文档描述了一个用来透过IP网络防火墙的应用层协议。这种传输的安全性在很大程度上
依赖于特定实现所拥有以及在SOCKS客户与SOCKS服务器之间经协商所选定的特殊的认证和封装方
式。
系统管理员需要对用户认证方式的选择进行仔细考虑。

9.  参考书目

   [1] Koblas, D., "SOCKS", Proceedings: 1992 Usenix Security Symposium.

作者地址
Marcus Leech
Bell-Northern Research Ltd
P.O. Box 3511, Station C
Ottawa, ON
CANADA K1Y 4H7
Phone: (613) 763 - 9145
EMail: mleech@bnr.ca
RFC1929——SOCKETS V5                                                                                      SOCKETS V5
RFC文档中文翻译计划

上一页  [1] [2]