Go使用远程SOCKS5代理创建SMTP客户端报错排查

本地SOCKS5代理连接SMTP正常、远程同配置代理报TTL expired/EOF错误，由三个核心问题导致：

• DNS解析位置错误：现有代码先在客户端本地做MX记录查询，且golang.org/x/net/proxy默认在本地解析SMTP服务域名，再把解析得到的IP发给远程代理发起连接。Gmail等主流邮件服务商的MX节点会根据查询来源IP做就近路由调度，本地网络查到的节点适配客户端所在网络位置，跨地域远程代理连接该节点时极易出现路由绕路、环路，最终触发TTL过期报错。
• 云厂商默认封禁25端口：使用的远程代理地址35.242.186.23属于Google Cloud平台，GCP、AWS、阿里云等所有主流公有云默认都会封禁TCP 25端口出站流量，防范垃圾邮件滥发。代理服务器发起到25端口的连接会被底层防火墙直接丢弃，连接建立失败就会抛出EOF错误。
• 代理配置不符合要求：如果远程部署的Dante代理未开启UDP转发、出口ACL拦截25端口、超时时间设置过短，也会导致连接异常断开。

1. 验证远程代理25端口连通性
   登录远程代理所在VM，直接执行命令测试到公网SMTP服务器的25端口连通性：

   nc -zv gmail-smtp-in.l.google.com 25
   

   如果连接失败，先到云服务商控制台申请25端口出站解封，这是必要前提，代码层面无法绕过这个限制。
2. 修复代码的远程DNS解析逻辑
   替换原有establishProxyConnection函数实现，强制SOCKS5客户端将原始域名通过CONNECT请求发给代理，由代理端完成DNS解析，避免本地解析导致的路由调度问题。注意需要在import块中新增"context"包引入：

   func establishProxyConnection(addr, proxyURI string) (net.Conn, error) {
       u, err := url.Parse(proxyURI)
       if err != nil {
           return nil, err
       }
   
       var auth *proxy.Auth
       if u.User != nil {
           auth = &proxy.Auth{
               User: u.User.Username(),
           }
           auth.Password, _ = u.User.Password()
       }
   
       // 自定义Dialer，跳过本地域名解析，强制SOCKS5客户端使用域名模式向代理发起请求
       noResolveDialer := &net.Dialer{
           Timeout: 30 * time.Second,
           Resolver: &net.Resolver{
               PreferGo: true,
               Dial: func(ctx context.Context, network, address string) (net.Conn, error) {
                   return nil, errors.New("skip local dns resolve")
               },
           },
       }
   
       dialer, err := proxy.SOCKS5("tcp", u.Host, auth, noResolveDialer)
       if err != nil {
           return nil, err
       }
   
       return dialer.Dial("tcp", addr)
   }
   

3. 核对Dante代理配置
   远程Dante代理配置必须满足以下要求：
   • 开启UDP转发权限，支持SOCKS5 UDP ASSOCIATE命令，满足代理端DNS查询需求
   • 出口ACL规则放通认证用户到任意目标地址的25端口访问权限
   • 连接超时时间设置不小于30秒，适配跨网络到SMTP服务器的握手延迟
   • 关闭源IP路由校验，避免非本地网段请求被拦截

内容的提问来源于stack exchange，提问作者Maluki