@coyove #4 放着放着就卡住了

@nkcfc #10 不客气，smac 是跑着 tproxy 程序的主机的 mac 。smac 的目的是将命中需要走代理的报文不发送给默认网关，而是发送给 tproxy 主机。

@nkcfc #3 可以的。

透明代理程序是

https://github.com/heiher/hev-socks5-tproxy

网关型的 nftables 配置是

https://pastebin.mozilla.org/76zqy9j1

只要流量经过网桥就可以呀。我就是把透明代理部署在 linux 网桥上的，网桥位于内网交换机与上联的路由之间。网桥上用 nftables 过滤 bridge 层的流量，目的 IP 是国内的流量不作干预走直连，其它的流量篡改目标 MAC 地址，重定向到透明代理主机上，进而被 tproxy 捕获并代理。IPv4 和 IPv6 都是一样的。

@cnfzv 哈喽，hev-socks5-tunnel 2.6.6 版本，sockstun 2.0 版本开始，支持流水化 socks5 握手开关（请求写合并），且默认关闭。

https://github.com/heiher/hev-socks5-tunnel/releases/tag/2.6.6
https://github.com/heiher/sockstun/releases/tag/2.0

@Songxwn 哈喽，请再试试 2.6.6 版本：

https://github.com/heiher/hev-socks5-tunnel/releases/tag/2.6.6

问题的机理很可能是：在 2.6.6 版本之前，hev-socks5-tunnel 的 socks5 客户端采用流水化的 socks5 握手实现方式，该方式会将所有的请求合并发送，以减少建立延迟。但这种方式对 socks5 服务器端的实现要求比较严格，如果遇到处理接收缓冲区不严谨的实现，就会造成后续请求不匹配。2.6.6 版本开始支持流水化握手方式开关，且默认关闭。

@Songxwn 支持 username/password 认证方式，日志贴出来看看吧。

smoltcp 的性能确实比较一般。在我的 tun2socks 项目中比较过几款不同实现的吞吐、CPU 和内存使用量：

https://github.com/heiher/hev-socks5-tunnel

钱多活少就好

@cnfzv 这是另外一个事情，因为 openssh socks5 不支持 udp 。

@cnfzv 理解。openssh 的 socks5 server 是可以的。ssh -D 1080

@cnfzv socks5 协议标准有对这一细节做具体的约束吗？在你的类比味结论是没法成功，而 socks5 协议的消息格式设计其实是可以成功的。比如 hev-socks5-server 、xray 等就是严谨处理流上数据的实现。

我不否则事实上与某些服务端存在兼容问题，之前分析过一个案例，问题实质就是：服务端分配了一块较大的接收缓存区，简单粗暴的读取了这一时刻客户端方向的全部流数据，假定接收缓存区中只有当前阶段的请求消息，而不是按照 socks5 消息格式一段一段处理掉，导致后续片断被丢弃。

因此，我自己目前得出的结论是：不是我设计了个新协议，而是有的服务端实现的不好。:D （除了降低 rtt 以外，合并发送还有消除 socks5 传输特征的考虑

@cnfzv 如果将 TCP 视作为流，而不是报文。在客户端对服务端的响应预测无误的情况下，服务端仍不能正确处理流上数据，我觉得这是服务端的实现问题。

好东西，感谢作者

社会工程学：直接问装维小哥

@cnfzv udp 走 udp 传输的话，客户端要求有访问到服务器端任意 udp 端口的能力。

@cnfzv 如果 socks5 服务端不支持 udp associate 命令，只能支持 tcp/ip 。基于 udp 的 dns 也不能支持。换一些 socks5 服务端即可。

@specture hev-socks5-tunnel 只做 tun2socks 业务，如果有部分流量本地直连的需求，那么分流器要运行在本地侧。分流器是 socks5 服务器，通过 socks5 协议与 socks5-tunnel 交互。关于 fakedns 流程大概是这样：

1. 应用程序请求解析域名的 ip 地址，相应的 dns 请求发送到 tun 。
2. socks5-tunnel 收到 tun 上的 udp 协议的 dns 请求后，通过 socks5 udp associate 方式发送给分流器。
3. 分流器通过协议识别（比如目标端口或报文内容等）发现是 dns 请求，重定向请求至内部的 fakedns 模块，生成 fake ip 的 dns 响应，发回 socks5-tunnel 。
4. 应用程序收到 dns 响应后，开始发起对 fake ip 的访问。相应的 tcp 或 udp 报文再次被分流器捕获，分流器通过报文中目标地址的 fake ip 查找分流规则， 建立与远程服务器的连接。

@specture #21 在 Socks5 服务端做分流、规则策略等。