在网络安全、渗透测试及复杂的内网穿透任务中，如何高效、隐蔽地穿透边界并探测内网，是每一位安全工程师的核心技能。SOCKS 代理 与基于虚拟网卡的 TUN 模式 是两套截然不同但又高度互补的技术方案。本文将从协议底层、内核实现及实战场景出发，带你深度理解这两大主流方案。
一、 SOCKS 代理：灵活的应用层中继
SOCKS（Socket Secure）是一种网络传输协议，目前最成熟且广泛应用的是 SOCKS5（RFC 1928）。它被视为一种"半自动"的代理方式。
1. 核心机制：三方握手与数据中继
SOCKS 工作在 OSI 模型的 会话层（Session Layer）。其交互过程如下：
- 认证阶段：客户端连接代理服务器，完成身份验证协商。
- 请求阶段：客户端发送目标服务器的 IP（或域名）和端口。
- 中继阶段：代理服务器代替客户端建立 TCP/UDP 连接。此时，代理服务器就像一个"搬运工"，在客户端和目标之间透明地传递原始数据流。
2. SOCKS5 的核心优势
- 协议无关性：它不关心上层是 HTTP、FTP 还是自定义的二进制协议，只负责传输层的数据转发。
- 远端 DNS 解析 ：SOCKS5 支持将域名解析交给代理服务端处理。这在处理 内网域名（如 HTB 的 .htb 域名） 时，能有效避免本地 DNS 污染导致的连接失败。
- 轻量化：由于其完全在应用层实现，不涉及复杂的内核驱动或虚拟硬件，系统资源消耗极低。
3. 实战中的痛点
- 主动适配性限制 ：程序必须支持 SOCKS 协议（或配合
proxychains等工具）才能走代理。 - 协议孤岛 ：由于 SOCKS 工作在传输层之上，它天然不支持 ICMP 协议 。这意味着你无法通过 SOCKS 代理进行
ping探测，只能使用 TCP 端口扫描来确认主机存活。
二、 TUN 代理：透明的网络层隧道
TUN（Network TUNnel）是操作系统提供的虚拟三层网络设备。与 SOCKS 不同，它直接在 网络层（Layer 3） 运行，模拟了一张真实的物理网卡。
1. 工作原理：流量截获与协议栈转换
TUN 模式的本质是"接管路由"。
- 虚拟网卡创建 ：代理软件（如 Clash, tun2socks）在内核中注册一个名为
tun0的设备。 - 路由引流 ：通过修改系统路由表，将目标网段（如
10.10.10.0/24）的流量默认路由指向tun0。 - 三层拦截 ：当应用发送 IP 数据包时，内核协议栈将其丢入
tun0。代理程序在用户态读取这些 原始 IP 包。 - 协议重组：代理程序解包 IP 首部，提取 TCP/UDP 载荷，再将其封装进代理协议中转发。
2. TUN 模式的优势：真正透明
- 全局无感 ：应用无需任何配置。只要流量发出，就会被系统路由自动"吸"进隧道。这对不支持代理配置的工具（如
dirsearch、某些硬编码的二进制文件）是降维打击。 - 全协议支持 ：由于在网络层操作，TUN 方案可以处理 ICMP （需配合用户态协议栈如
lwIP），实现"代理下的 Ping"。 - 安全性高：在路由层面拦截，彻底规避了因工具不支持 SOCKS 而导致的"真实 IP 直连"泄露风险。
3. 面临的挑战
- 权限屏障 ：创建 TUN 设备通常需要 Root 或管理员权限，在低权限 Webshell 环境下难以部署。
- 性能开销：数据包需要在内核态与用户态之间高频切换，且用户态程序需要消耗 CPU 来模拟复杂的 TCP 协议栈。
三、 Ligolo-ng 的艺术：红队内网穿透的新标杆
在后渗透阶段，Ligolo-ng 是利用 TUN 技术实现"透明内网穿透"的典型代表。它抛弃了传统的 SOCKS 端口映射思维，转而建立一条完整的二/三层链路。
1. 工作原理：逆向隧道 + 路由转发
Ligolo-ng 在攻击机（如 Kali）上利用 TUN 技术模拟出一条伸入内网的"虚拟光缆"。
- 建立通信：内网受控机运行 Agent，通过逆向连接与攻击机的 Proxy 端建立隧道。
- 网卡映射 ：攻击者在 Kali 上创建一个虚拟网卡：
ip link add dev ligolo type tun && ip link set ligolo up - 路由穿透 ：通过简单的路由指令，将整个内网段挂载到该网卡上：
ip route add 172.16.0.0/24 dev ligolo - 内核态透明转发 ：此时，攻击机上的任何工具（如
nmap,msf）发出的包都会直接经过ligolo网卡，由 Proxy 封装后发送给 Agent 还原。
2. Ligolo-ng 的实战降维打击
- 丝滑体验 ：再也不需要
proxychains。你可以直接ping 172.16.0.5或ssh 172.16.0.5，系统会自动处理路由，就像该内网网段物理连接在你的 Kali 上一样。 - 内网存活探测：支持 ICMP 意味着你可以使用各种高效的存活探测脚本，而不再局限于慢速的 TCP 端口探测。
- 反向监听（Reverse Listen） ：这是 Ligolo-ng 的黑魔法。你可以在
ligolo网卡上开启监听端口，内网受控机直接连接 Agent 的内网 IP，流量会自动通过隧道回弹到你的攻击机。这解决了反弹 Shell 时的多层防火墙和 NAT 难题。
四、 方案总结对比
| 特性 | SOCKS 代理 (SOCKS5) | TUN 代理方案 (Ligolo-ng) |
|---|---|---|
| 工作层级 | 会话层 (L5) | 网络层 (L3) |
| 透明度 | 非透明，应用需适配 | 全透明，基于系统路由 |
| ICMP/Ping | 不支持 | 完全支持 |
| 部署难度 | 极低，普通权限即可 | 较高，需 Root 权限及驱动 |
| 工具兼容性 | 一般（需工具本身支持或 Hook） | 极佳（所有原生工具均支持） |
| 典型代表 | frp, ew, SSH -D, gost | Ligolo-ng, tun2socks, Tailscale |
结语 ：SOCKS 是手术刀 ，适合在复杂的防御机制下进行精准、隐蔽的切入；TUN 是推土机，适合在获取权限后，大开大合地平铺网络链路。理解并灵活切换这两套方案，才能在多变的渗透环境中始终掌握流量的主动权。
💡 思考题
为什么 TUN 模式的 CPU 占用更高？
这是因为"上下文切换"和"协议栈模拟"。在 SOCKS 模式下，内核只负责转发应用层的字节流；而在 TUN 模式下，每发送一个包，数据都要从内核态拷贝到用户态，由代理程序（如 Ligolo-ng）在用户态解析 IP 头、处理分片、维护 TCP 状态机，最后再封装转发。这种用户态协议栈的实现虽然带来了全协议兼容性，但也带来了显著的计算开销。