Типи проксі-серверів: чим HTTP відрізняється від SOCKS5

Слова «HTTP», «SOCKS4» і «SOCKS5» стоять в описі кожного проксі-сервісу, і за ними треба зрозуміти, чи запрацює рядок у вашому софті. Різниця між протоколами зводиться до трьох речей: якими словами софт пояснює проксі, куди підключатися, хто перетворює домен на IP-адресу і що сервер робить із трафіком далі. Розбираємо всі чотири протоколи з таблицями й прикладами, а наприкінці показуємо, як протокол поєднується із джерелом адрес: від пакетів МІКС до резидентних рядків.

Як запит проходить через проксі

Будь-який проксі стоїть між вашим софтом і сайтом. Софт відкриває зʼєднання до проксі, проксі відкриває своє до сайту й далі переливає байти в обидва боки, тому сайт бачить адресу проксі замість вашої. Протоколи відрізняються першим кроком: тим, у якому вигляді софт передає серверу запит.

HTTP-проксі: запит читається цілком

Софт надсилає HTTP-проксі звичайний запит, лише з повною адресою: GET http://site/page. Проксі розбирає його, сам іде на сайт і повертає відповідь. Раз сервер бачить запит цілком, він може дописати в нього службові заголовки Via та X-Forwarded-For, а в останньому стоїть ваш справжній IP.

За цими заголовками публічні проксі ділять на три рівні. Прозорий пересилає вашу адресу сайту. Анонімний адресу приховує, але за заголовками видно, що це проксі. Елітний не додає нічого, і для сайту він виглядає звичайним відвідувачем. У безплатному списку рівень указано для кожної адреси, а колонка «Тип» фільтрує елітні та анонімні. Свій рядок перевірте на сторінці перевірки анонімності: вона показує і заголовки, і витік WebRTC.

У чистому вигляді протокол потрібен для сайтів без шифрування, а таких майже не лишилося. Тому на практиці «HTTP-проксі» означає звʼязку: відкритий текст для http-адрес і тунель CONNECT для всього іншого.

HTTPS-проксі: тунель CONNECT

Для зашифрованого сайту софт просить проксі відкрити тунель командою CONNECT site:443. Проксі відповідає кодом 200 і далі передає потік, у який зазирнути не може: TLS іде від вашого софту до сайту наскрізь. Серверу лишаються домен, час і обсяг трафіку. Окремого протоколу «HTTPS-проксі» немає, це HTTP-проксі з дозволеною командою CONNECT, і всі наші HTTP-рядки її підтримують.

SOCKS4 і SOCKS5: передавання потоку

SOCKS працює рівнем нижче й у HTTP не зазирає: софт називає адресу призначення, проксі відкриває TCP-зʼєднання й далі переливає потік як є. Протоколу байдуже, що всередині: сторінка, пошта чи ігровий трафік. SOCKS4 приймає лише IPv4-адреси й живе без пароля, версія 4a навчилася доменів. Обидві версії трапляються в старому софті, у нових проєктах їх замінив SOCKS5.

SOCKS5 додав три речі: авторизацію за логіном і паролем, адреси IPv6 з доменами й передавання UDP. Для роботи важлива одна деталь, про яку часто забувають: домен на IP може перетворювати і ваша машина, і проксі. Якщо це робить ваша машина, DNS-запит іде з вашої адреси, і такий слід зводить анонімність нанівець. У curl за це відповідає схема: socks5:// резолвить клієнт, socks5h:// проксі. Обидві команди нижче виводять вихідну адресу рядка, друга ще й ховає DNS:

curl -x "http://LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me
curl --socks5-hostname "LOGIN:PASSWORD@HOST:PORT" https://ifconfig.me

UDP через SOCKS5 потрібен стримінгу, дзвінкам, іграм і QUIC. Із наших тарифів його підтримує Resi Prime, в інших через проксі йде TCP.

Окремий рядок про сучасний веб. Дедалі більше сайтів говорять на HTTP/3, який їздить поверх UDP. Через проксі без UDP браузер сам відкочується на HTTP/2 по TCP, сайт відкривається як зазвичай, лише без виграшу у швидкості. Ламатися тут нічому, але якщо бачите в консолі браузера протокол h2 замість h3, причина в цьому.

Порівняння протоколів

Швидкість від протоколу майже не залежить: накладні витрати в усіх укладаються в один обмін пакетами під час підключення. Вирішують джерело адреси й канал на виході, а це вже властивість пулу. Як той самий протокол поводиться на двох різних пулах, видно за нашими замірами німецьких адрес: відгук відрізнявся в чотири з половиною рази.

Протокол і джерело адрес: дві різні осі

Покупці часто питають, що «надійніше»: HTTP чи SOCKS5. Для сайту різниці немає, він бачить вхідне зʼєднання з адреси проксі й не знає, яким протоколом ви говорили із сервером. Репутацію рядку дає джерело адреси: дата-центр, домашній провайдер чи стільникова мережа. Протокол вибирають під софт, джерело під сайт, із яким доведеться працювати.

На тарифах за гігабайти протокол задається під час створення списку в кабінеті, і рядок уже містить логін, пароль і порт. Якщо софт чекає іншого формату запису, пропустіть список через конвертер проксі.

Формати запису рядків

Протокол видно і в самому записі рядка. Софт приймає проксі у двох видах: адресою з портом або повним посиланням зі схемою. У посиланні протокол стоїть на початку, і його часто плутають із протоколом сайту: схема http:// у рядку говорить про спосіб підключення до проксі, а не про те, що https-сайти через нього не відкриються.

Чекеру SLP і нашому кабінету підходять усі три записи, а якщо софт уперся в єдиний формат, конвертер проксі перепише список цілком: вставили, вибрали шаблон, завантажили. Прописати рядок руками у Windows, macOS чи браузері допоможе інструкція з ручного налаштування проксі.

Що вибрати під задачу

• Парсинг і чекери. SOCKS5 зі схемою socks5h, щоб DNS ішов через проксі, або HTTP: парсеру підходять обидва. Для тисяч потоків без лічильника трафіку беріть пакети МІКС, для точного гео рядки Resi Core.
• Браузери й антидетект. Ставте HTTP: Chromium не передає логін і пароль у SOCKS5, і профіль із таким рядком лишається без мережі. Докладніше про вибір пулу для акаунтів ми писали у статті про бекконект-проксі.
• Стримінг, дзвінки, ігри. Потрібен UDP, отже SOCKS5 на Resi Prime.
• Старий софт без поля для пароля. Підійдуть пакети МІКС: доступ там відкривається за IP вашого сервера, логін вводити нікуди й не треба.

Як перевірити рядок

Вихідну адресу й країну покаже сторінка мій IP, заголовки й рівень анонімності перевірка анонімності. Цілий список зручніше прогнати через чекер SLP або скрипт для Linux із тієї самої сторінки: він розуміє і ip:port, і рядки з логіном, сам визначає протокол порту й позначає мертві рядки. Команди curl із цієї статті ми прогнали на живих рядках перед публікацією.

Усі тарифи оплачуються з одного балансу: пакети за термін, решта за гігабайти, і куплений трафік діє три місяці. Що почім на кожному обсязі, зібрано на сторінці порівняння тарифів.