R2Socks

نفق وكيل SOCKS5 عبر حاويات Cloudflare R2.

[Client App] ◄─SOCKS5─► [Proxy] ◄─── R2 Bucket ───► [Agent] ◄─TCP─► [Target]

يشغّل الوكيل خادم SOCKS5 محليًا على جهاز المشغّل. يتم تسلسل كل طلب CONNECT كحزم ثنائية وتخزينها ككائنات R2. يستطلع الوكيل (agent) نفس الحاوية من الشبكة الهدف، ويلتقط طلبات الاتصال، ويُنشئ اتصالات TCP حقيقية، ويعيد توجيه البيانات عبر R2.

المكوّنات

الوكيل المكتوب بلغة C++ متوافق بروتوكوليًا مع وكيل Python. يستخدم فقط واجهات Windows الأصلية (WinHTTP، bcrypt، Winsock2) دون الحاجة إلى مكتبات خارجية.

البدء السريع

1. إنشاء حاوية R2

1. انتقل إلى Cloudflare Dashboard → R2 Object Storage
2. انقر على Create bucket وأعطها اسمًا
3. دوّن Account ID من الرابط: dash.cloudflare.com/<ACCOUNT_ID>/r2/...

2. إنشاء رمز R2 API

1. في R2 → Manage R2 API Tokens → Create API Token
2. اضبط الأذونات على Object Read & Write
3. اختر حاويتك (أو جميع الحاويات)
4. انسخ Access Key ID و Secret Access Key (يُعرضان مرة واحدة فقط)

3. تشغيل الوكيل (Proxy)

pip install boto3
python r2socks.py proxy -b my-bucket -a <account_id> \
    --access-key <R2_ACCESS_KEY> --secret-key <R2_SECRET_KEY>

يولّد الوكيل معرّف قناة (channel ID) ويطبع الأمر لتشغيل الوكيل (agent).

4. تشغيل الوكيل (Agent)

وكيل Python:

python r2socks.py agent -b my-bucket -a <account_id> -c <channel_id> \
    --access-key <R2_ACCESS_KEY> --secret-key <R2_SECRET_KEY>

وكيل C++ (Windows):

.\r2agent.exe -b my-bucket -a <account_id> -c <channel_id> -k <access_key> -s <secret_key>

الاستخدام

الوكيل (جانب المشغّل)

python r2socks.py proxy [options]

Required:
  -b, --bucket BUCKET         R2 bucket name
  -a, --account-id ID         Cloudflare account ID

Optional:
  -c, --channel ID            Channel ID (auto-generated if omitted)
  -l, --listen ADDR           Listen address (default: 127.0.0.1:1080)
  --access-key KEY            R2 API token Access Key ID
  --secret-key KEY            R2 API token Secret Access Key
  --socks-user USER           Enable SOCKS5 user/pass authentication
  --socks-pass PASS           SOCKS5 password
  -p, --password PWD          AES-256-GCM encryption password
  -v, --verbose               Debug logging

الوكيل (جانب الهدف)

Python:

python r2socks.py agent [options]

Required:
  -b, --bucket BUCKET         R2 bucket name
  -a, --account-id ID         Cloudflare account ID
  -c, --channel ID            Channel ID (from proxy output)

C++ (Windows):

r2agent.exe [options]

Required:
  -b, --bucket BUCKET         R2 bucket name
  -a, --account-id ID         Cloudflare account ID
  -c, --channel ID            Channel ID (from proxy output)

Credentials (flags override env vars):
  -k, --access-key KEY        R2 API token Access Key ID
  -s, --secret-key KEY        R2 API token Secret Access Key

Optional:
  -v, --verbose               Debug logging

التنظيف

أزل جميع كائنات R2 من قناة عند الانتهاء:

python r2socks.py clean -b my-bucket -a <account_id> -c <channel_id>

البروتوكول

تنسيق الحزمة الثنائية المشترك بين الوكيل والوكيل (agent):

┌──────────┬────────────────────┬────────────┬──────────────────┐
│ CMD (1B) │ ConnectionID (16B) │ Len (4B BE)│ Payload (var)    │
└──────────┴────────────────────┴────────────┴──────────────────┘

يتم تجميع حزم متعددة في كائن R2 واحد (حتى 4MB) لتقليل استدعاءات API. تُسمّى الكائنات بطوابع زمنية بالميكروثانية للترتيب وتُحذف بعد الاستهلاك.

التشفير

تشفير AES-256-GCM اختياري لجميع حمولات R2:

pip install cryptography

# Both sides must use the same password
python r2socks.py proxy -b bucket -a account_id -p "my-secret-password"
python r2socks.py agent -b bucket -a account_id -c channel -p "my-secret-password"

يُشتق المفتاح باستخدام PBKDF2-SHA256 مع 600,000 تكرار.

بناء وكيل C++

من موجه أوامر Visual Studio Developer Command Prompt:

cl /std:c++17 /EHsc /O2 r2agent.cpp /link ws2_32.lib winhttp.lib bcrypt.lib

الاستطلاع التكيفي

يستخدم كل من الوكيل والوكيل (agent) فترات نوم تكيفية:

• حركة نشطة: استطلاع كل 50ms لزمن استجابة منخفض
• خامل: تزداد الفترة بمقدار 1.3x في كل دورة، حتى 2 ثانية كحد أقصى
• عودة الحركة: تنخفض الفترة بمقدار 0.5x، لتعود إلى 50ms بسرعة

يوازن هذا بين سرعة الاستجابة وحجم استدعاءات API. تُسجَّل الإحصائيات كل 30 ثانية تُظهر الاتصالات النشطة والكائنات المنقولة والبايتات المنقولة.

استكشاف الأخطاء وإصلاحها

SignatureDoesNotMatch

• تحقق من صحة بيانات اعتماد رمز R2 API
• تأكد من أن الرمز يمتلك أذونات Object Read & Write على الحاوية
• تحقق من ساعة النظام: w32tm /resync /force (Windows) أو sudo ntpdate pool.ntp.org (Linux)

RequestTimeTooSkewed

• ساعة النظام غير متزامنة. زامنها:
  root@kitploit:~

  w32tm /resync /force
  

AccessDenied

• قد يفتقر رمز API إلى أذونات على الحاوية الهدف
• أعد توليد الرمز مع Object Read & Write على الحاوية الصحيحة

المتطلبات

الوكيل (Python):

• Python 3.8+
• boto3 (مطلوب)
• cryptography (اختياري، للتشفير)

الوكيل (C++):

• Windows 10/11
• لا توجد تبعيات وقت التشغيل