Go 1.10.2客户端如何连接需IKEv2证书的Socks5代理？

嘿，我来帮你搞定这个需求！首先得明确一点：Go标准库的golang.org/x/net/proxy本身不支持IKEv2证书认证，所以我们得先通过第三方库搭起IKEv2的安全隧道，再在这个隧道之上使用带用户名密码认证的Socks5代理。下面是适配Go 1.10.2的完整实现方案：

先搞定依赖 #

因为Go 1.10.2版本比较老，得选兼容它的库：

• 用github.com/strongswan/govici来处理IKEv2的证书认证（记得拉取适配Go 1.10的分支/版本）
• 保留golang.org/x/net/proxy来实现Socks5的用户名密码认证

第一步：建立IKEv2证书认证隧道 #

我们需要用客户端证书、密钥和CA证书来和IKEv2服务器建立安全连接。这里用govici库和strongSwan的charon守护进程配合（charon需要在本地运行），核心代码如下：

import (
    "io/ioutil"
    "log"

    "github.com/strongswan/govici/vici"
)

func setupIKEv2Tunnel(ikeServer string, clientCertPath, clientKeyPath, caCertPath string) (*vici.Session, error) {
    // 加载本地证书文件
    clientCert, err := ioutil.ReadFile(clientCertPath)
    if err != nil {
        return nil, err
    }
    clientKey, err := ioutil.ReadFile(clientKeyPath)
    if err != nil {
        return nil, err
    }
    caCert, err := ioutil.ReadFile(caCertPath)
    if err != nil {
        return nil, err
    }

    // 初始化VICI客户端，和charon daemon通信
    client, err := vici.NewClient()
    if err != nil {
        return nil, err
    }
    defer client.Close()

    // 把凭证加载到charon中
    credsReq := &vici.LoadCredentialsRequest{
        Certs: []string{string(clientCert)},
        PrivateKeys: []vici.PrivateKey{
            {
                Type: "PKCS8",
                Data: string(clientKey),
            },
        },
        Cas: []string{string(caCert)},
    }
    if err := client.LoadCredentials(credsReq); err != nil {
        return nil, err
    }

    // 发起IKEv2连接请求，替换成你实际的加密套件和ID信息
    connReq := &vici.InitiateRequest{
        IKEProposal: []string{"aes256-sha256-modp2048"},
        ESPProposal: []string{"aes256-sha256"},
        Peer:        ikeServer,
        ID:          &vici.ID{Type: "fqdn", Data: "client.your-domain.com"},
        RemoteID:    &vici.ID{Type: "fqdn", Data: "server.your-domain.com"},
    }
    sess, err := client.Initiate(connReq)
    if err != nil {
        return nil, err
    }

    log.Println("IKEv2隧道建立成功！")
    return sess, nil
}

第二步：把Socks5代理和IKEv2隧道结合起来 #

隧道建好后，我们要让Socks5的流量通过这个隧道走。这里自定义一个Dial函数，先通过IKEv2隧道连接到Socks5代理，再做用户名密码认证：

import (
    "net"
    "net/http"
    "log"

    "golang.org/x/net/proxy"
)

func socks5WithIKEv2(proxyAddress, targetURL, user, password string, ikeServer, clientCertPath, clientKeyPath, caCertPath string) {
    // 先建立IKEv2隧道
    ikeSess, err := setupIKEv2Tunnel(ikeServer, clientCertPath, clientKeyPath, caCertPath)
    if err != nil {
        log.Fatalf("建立IKEv2隧道失败：%v", err)
    }
    defer ikeSess.Close()

    // 自定义Dial函数：让流量走IKEv2隧道
    tunnelDial := func(network, addr string) (net.Conn, error) {
        // 如果Socks5代理在IKEv2隧道的内网侧，直接用它的内网地址即可
        // 若需要绑定到虚拟隧道接口（比如Linux的tun0），可以在这里添加绑定逻辑
        conn, err := net.Dial(network, addr)
        if err != nil {
            return nil, err
        }
        return conn, nil
    }

    // 创建带用户名密码的Socks5拨号器，指定用我们的隧道Dial函数
    auth := proxy.Auth{User: user, Password: password}
    socksDialer, err := proxy.SOCKS5("tcp", proxyAddress, &auth, proxy.FromDialer(&net.Dialer{Dial: tunnelDial}))
    if err != nil {
        log.Fatalf("创建Socks5拨号器失败：%v", err)
    }

    // 配置HTTP客户端使用这个Socks5代理
    tr := &http.Transport{Dial: socksDialer.Dial}
    client := &http.Client{Transport: tr}

    // 发起请求测试
    resp, err := client.Get(targetURL)
    if err != nil {
        log.Fatalf("请求目标URL失败：%v", err)
    }
    defer resp.Body.Close()

    log.Printf("响应状态：%s", resp.Status)
    // 这里可以继续处理响应内容，比如读取Body
}

一些关键提示 #

• strongSwan依赖：上面的IKEv2实现需要本地运行strongSwan的charon守护进程，如果你想要纯Go的IKEv2实现（不依赖外部服务），可以试试github.com/jamescun/ikev2，但得自己确认它和Go 1.10.2的兼容性。
• 流量路由：确保Socks5的流量确实走IKEv2隧道，必要时可以配置系统路由，或者在tunnelDial函数里把连接绑定到虚拟隧道接口。
• Go版本兼容：拉取依赖的时候，记得选适配Go 1.10.2的版本，比如golang.org/x/net/proxy可以拉取v0.0.0-20180524181240-0512e04b549e这样的旧tag。

调用示例 #

最后，你可以在main函数里这样调用：

func main() {
    socks5WithIKEv2(
        "socks-proxy.your-domain.com:1080", // Socks5代理地址
        "https://your-target-url.com",      // 要访问的目标URL
        "your-socks-username",              // Socks5用户名
        "your-socks-password",              // Socks5密码
        "ike-server.your-domain.com:500",   // IKEv2服务器地址（默认端口500）
        "./client-cert.pem",                // 客户端证书文件路径
        "./client-key.pem",                 // 客户端密钥文件路径
        "./ca-cert.pem",                    // CA证书文件路径
    )
}

内容的提问来源于stack exchange，提问作者ufk