Wireshark proxy: Bắt và đọc lưu lượng đi qua proxy

Wireshark proxy là cách dùng phần mềm phân tích gói tin Wireshark để quan sát và kiểm tra kết nối đi qua máy chủ proxy: xem ứng dụng có thực sự gửi lưu lượng tới proxy không, proxy trả lời gì, xác thực có thành công không, truy vấn DNS có rò ra ngoài không. Đây là công cụ mạnh khi gỡ lỗi những tình huống mà thông báo lỗi của ứng dụng quá chung chung. Bài này ProxyVN hướng dẫn bắt gói đúng chỗ, bộ lọc hiển thị cho proxy HTTP và SOCKS5, cách đọc yêu cầu CONNECT, bắt tay SOCKS5, lỗi 407, phát hiện rò rỉ DNS, nhận diện proxy protocol, kèm lưu ý bảo mật và đạo đức. Xem thêm dịch vụ tại ProxyVN.

Tổng quan về Wireshark proxy

Wireshark là phần mềm mã nguồn mở bắt và phân tích gói tin mạng, chạy trên Windows, macOS, Linux. Nó hiển thị từng gói tin đi qua card mạng, giải mã hàng trăm giao thức thành dạng dễ đọc. Tài liệu đầy đủ có ở Wireshark User's Guide.

Khi dùng proxy, lưu lượng của anh em không đi thẳng tới website mà tới máy chủ proxy trước. Wireshark trên máy cá nhân thấy được đoạn đường từ máy tới proxy: ứng dụng gửi gì cho proxy, proxy trả lời gì. Đoạn từ proxy tới website nằm ngoài tầm nhìn của máy cá nhân. Hiểu điều này giúp đặt câu hỏi đúng khi phân tích.

Khi nào cần Wireshark proxy

• Ứng dụng báo lỗi chung chung: "không kết nối được", "proxy error" mà không rõ lý do.
• Nghi ứng dụng không đi qua proxy: muốn biết rõ từng kết nối đi tới đâu.
• Gỡ lỗi xác thực: xem ứng dụng có gửi tài khoản không, proxy trả mã gì.
• Kiểm tra rò rỉ DNS: truy vấn tên miền có đi ra ngoài proxy không.
• Học cách proxy hoạt động: nhìn tận mắt từng bước của HTTP CONNECT hay SOCKS5.

Wireshark khác mitmproxy, Charles ở đâu

Bảng: Wireshark khác mitmproxy, Charles ở đâu

Công cụ	Cách hoạt động	Thấy nội dung HTTPS
Wireshark	Bắt gói thụ động trên card mạng	Không, trừ khi có khoá phiên
mitmproxy	Proxy trung gian giải mã	Có, khi cài chứng chỉ
Charles	Proxy trung gian có giao diện	Có, khi cài chứng chỉ

Wireshark không chen vào kết nối, chỉ quan sát, nên thấy chính xác những gì đi trên dây, kể cả các giao thức không phải HTTP. mitmproxy và Charles chen vào giữa để đọc nội dung HTTPS. Hai nhóm công cụ bổ sung cho nhau, xem bài mitmproxy là gì và Charles proxy là gì.

Bắt gói đúng chỗ khi phân tích Wireshark proxy

Bắt sai card mạng là lỗi phổ biến nhất của người mới.

Hai chặng kết nối khi dùng proxy

Chọn card mạng đang dùng

Khi mở Wireshark, danh sách card mạng hiện kèm biểu đồ lưu lượng nhỏ. Chọn card đang có lưu lượng: Wi-Fi hoặc Ethernet. Nếu đang dùng VPN, lưu lượng tới proxy có thể đi qua card VPN.

Proxy chạy trên máy cục bộ

Nếu ứng dụng kết nối tới proxy ở 127.0.0.1, như công cụ gỡ lỗi hay phần mềm chuyển tiếp cục bộ, lưu lượng đi qua card loopback, không qua Wi-Fi. Trên Windows, cần trình điều khiển Npcap có hỗ trợ bắt loopback, chọn card "Adapter for loopback traffic capture". Ý nghĩa địa chỉ 127.0.0.1 trong cấu hình proxy có trong bài proxy 127.0.0.1.

Bộ lọc khi bắt và bộ lọc khi hiển thị

Wireshark có hai loại bộ lọc. Bộ lọc khi bắt (capture filter) quyết định gói nào được ghi lại, cú pháp kiểu BPF như "host 103.x.x.x". Bộ lọc hiển thị (display filter) lọc gói đã bắt để xem, cú pháp riêng của Wireshark như "ip.addr == 103.x.x.x". Người mới nên bắt tất cả rồi dùng bộ lọc hiển thị.

Giảm nhiễu

Máy tính có rất nhiều lưu lượng nền: cập nhật, đồng bộ đám mây, trình duyệt mở nhiều tab. Đóng bớt ứng dụng trước khi bắt, chỉ để ứng dụng cần kiểm tra chạy.

Bộ lọc hiển thị mẫu cho Wireshark proxy

Bộ lọc hiển thị là công cụ chính để tìm nhanh gói liên quan proxy. Danh sách và cú pháp đầy đủ có ở trang DisplayFilters của Wireshark wiki.

Bảng: Bộ lọc hiển thị mẫu cho Wireshark proxy

Mục đích	Bộ lọc
Mọi lưu lượng tới proxy	ip.addr == 103.x.x.x
Lưu lượng tới cổng proxy	tcp.port == 8080
Yêu cầu mở đường hầm	http.request.method == "CONNECT"
Proxy yêu cầu xác thực	http.response.code == 407
Gói SOCKS	socks
Truy vấn DNS	dns
Tên miền trong bắt tay TLS	tls.handshake.extensions_server_name
Kết nối bị từ chối	tcp.flags.reset == 1

Kết hợp bộ lọc

Dùng && (và), || (hoặc), ! (không). Ví dụ "tcp.port == 8080 && http" chỉ hiện HTTP trên cổng proxy. "dns && !ip.addr == 103.x.x.x" hiện truy vấn DNS không đi tới proxy.

Lưu bộ lọc hay dùng

Wireshark cho lưu bộ lọc thành nút bấm trên thanh công cụ. Lưu vài bộ lọc proxy hay dùng để không phải gõ lại mỗi lần.

Đọc proxy HTTP và yêu cầu CONNECT trong Wireshark proxy

Proxy HTTP là loại phổ biến nhất. Wireshark giải mã rõ ràng phần giao tiếp với proxy vì phần này không mã hoá.

Đọc yêu cầu CONNECT

Yêu cầu tới địa chỉ HTTP

Với website HTTP thường, ứng dụng gửi cho proxy yêu cầu dạng "GET http://tenmien/duongdan HTTP/1.1" với URL đầy đủ. Wireshark hiện yêu cầu này trong cột Info. Proxy lấy nội dung rồi trả về, toàn bộ đọc được trong Wireshark.

Yêu cầu CONNECT cho HTTPS

Với website HTTPS, ứng dụng gửi "CONNECT tenmien:443 HTTP/1.1". Proxy trả "HTTP/1.1 200 Connection established" nếu đồng ý. Sau đó là bắt tay TLS giữa ứng dụng và website qua đường hầm, Wireshark thấy các gói TLS nhưng không đọc được nội dung. Cơ chế đường hầm được giải thích trong bài proxy tunnel là gì.

Đọc phản hồi của proxy

Phản hồi của proxy cho CONNECT nói lên nhiều điều: 200 là thành công, 407 là cần xác thực, 403 là proxy từ chối tên miền hay cổng, 502 là proxy không kết nối được tới đích. Lọc "http.response && tcp.port == 8080" để xem mọi phản hồi của proxy.

Follow TCP Stream

Chuột phải vào một gói, chọn Follow, TCP Stream để xem toàn bộ hội thoại của kết nối đó dạng văn bản. Rất tiện để đọc yêu cầu CONNECT, phản hồi của proxy và phần đầu của bắt tay.

Đọc lỗi 407 trong Wireshark proxy

Lỗi xác thực là lý do hay gặp nhất khiến proxy không chạy. Wireshark cho thấy chính xác chuyện gì xảy ra.

Luồng xác thực bình thường

Ứng dụng gửi CONNECT không kèm xác thực, proxy trả 407 kèm tiêu đề Proxy-Authenticate cho biết kiểu xác thực. Ứng dụng gửi lại CONNECT kèm tiêu đề Proxy-Authorization. Proxy trả 200. Nhiều ứng dụng gửi luôn Proxy-Authorization ở lần đầu.

Khi ứng dụng không gửi xác thực

Thấy 407 rồi kết nối đóng, không có CONNECT thứ hai: ứng dụng không hỗ trợ hoặc chưa được cấu hình tài khoản.

Khi gửi sai

Thấy CONNECT có Proxy-Authorization nhưng proxy vẫn trả 407: tài khoản hoặc mật khẩu sai, hoặc ký tự đặc biệt bị mã hoá sai. Wireshark giải mã tiêu đề Basic thành tài khoản mật khẩu dạng văn bản, giúp so sánh trực tiếp. Cơ chế mã 407 có trong bài sửa lỗi 407 Proxy Authentication Required.

Cảnh báo bảo mật

Việc Wireshark đọc được tài khoản mật khẩu cho thấy xác thực Basic gửi thông tin dạng dễ giải mã. Bất kỳ ai bắt được lưu lượng giữa máy và proxy, như trên Wi-Fi công cộng, cũng đọc được. Đây là lý do nên tránh dùng proxy có mật khẩu qua mạng không tin cậy, hoặc dùng IP whitelist.

Đọc bắt tay SOCKS5 trong Wireshark proxy

Proxy SOCKS5 dùng giao thức nhị phân riêng, được đặc tả trong RFC 1928. Wireshark giải mã SOCKS sẵn, các trường hiển thị được liệt kê ở trang tham chiếu bộ lọc SOCKS.

Bắt tay SOCKS5

Bước 1: Lời chào

Máy khách gửi phiên bản 5 và danh sách phương thức xác thực hỗ trợ: 0x00 là không xác thực, 0x02 là tài khoản mật khẩu.

Bước 2: Proxy chọn phương thức

Proxy trả phương thức đã chọn. Nếu trả 0xFF, không phương thức nào phù hợp, kết nối thất bại. Đây là dấu hiệu máy khách chỉ đề nghị không xác thực trong khi proxy bắt buộc mật khẩu.

Bước 3: Xác thực tài khoản

Nếu chọn 0x02, máy khách gửi tài khoản và mật khẩu, proxy trả kết quả 0x00 là thành công. Phần này cũng không mã hoá, Wireshark đọc được.

Bước 4: Yêu cầu kết nối

Máy khách gửi lệnh CONNECT kèm loại địa chỉ: IPv4, IPv6 hoặc tên miền. Proxy trả mã kết quả: 0x00 thành công, các mã khác như 0x05 kết nối bị từ chối, 0x04 không tới được máy chủ đích.

Tên miền hay IP trong yêu cầu

Nếu yêu cầu chứa tên miền, máy khách để proxy phân giải DNS, đây là chế độ socks5h. Nếu chứa IP, máy khách đã tự phân giải, có khả năng truy vấn DNS đi ra từ máy. Đọc trường loại địa chỉ giúp biết ứng dụng đang dùng chế độ nào.

Cổng không chuẩn

Wireshark mặc định nhận SOCKS ở cổng 1080. Proxy dùng cổng khác thì chuột phải vào gói, chọn Decode As, đặt cổng đó là SOCKS. Khác biệt giữa SOCKS5 và HTTP có trong bài proxy HTTP và SOCKS5.

Phát hiện DNS rò rỉ bằng Wireshark proxy

Rò rỉ DNS nghĩa là truy vấn tên miền đi thẳng tới máy chủ DNS của nhà mạng thay vì qua proxy. Website không thấy, nhưng nhà mạng và ai theo dõi mạng thấy anh em truy cập những tên miền nào.

Phát hiện DNS rò rỉ

Cách kiểm tra

Bắt gói, lọc "dns", rồi dùng ứng dụng qua proxy truy cập vài website. Nếu thấy truy vấn DNS cho chính các tên miền đó đi tới máy chủ DNS của nhà mạng hay DNS công cộng, đó là rò rỉ.

Nguyên nhân thường gặp

Ứng dụng dùng proxy HTTP nhưng tự phân giải tên miền trước khi gửi, hoặc dùng SOCKS5 ở chế độ tự phân giải thay vì socks5h. Trình duyệt có tính năng dự đoán tải trước, phân giải tên miền trước khi người dùng bấm.

Cách sửa

Với SOCKS5, bật tuỳ chọn để proxy phân giải DNS: trong Firefox là "Proxy DNS when using SOCKS v5", trong curl và nhiều thư viện là tiền tố socks5h://. Với proxy HTTP qua CONNECT, tên miền gửi cho proxy, thường không rò rỉ trừ khi trình duyệt tải trước.

Phân biệt với DNS qua HTTPS

Trình duyệt bật DNS qua HTTPS gửi truy vấn mã hoá tới nhà cung cấp riêng, không hiện dưới dạng gói DNS thường. Nếu không thấy gói DNS nào, có thể trình duyệt đang dùng DNS qua HTTPS. Lọc theo tên miền của nhà cung cấp DNS đó để xác nhận.

Nhận diện proxy protocol trong Wireshark proxy

Proxy protocol là giao thức khác hẳn proxy HTTP hay SOCKS: nó là phần đầu được thêm vào kết nối để chuyển thông tin IP gốc của máy khách qua các lớp cân bằng tải, reverse proxy.

Dạng văn bản và dạng nhị phân

Phiên bản 1 là dòng văn bản như "PROXY TCP4 IP_nguon IP_dich cong_nguon cong_dich" ở đầu kết nối. Phiên bản 2 là phần đầu nhị phân có chữ ký riêng. Wireshark có bộ giải mã cho proxy protocol, hiển thị các trường IP, cổng.

Khi nào gặp

Quản trị viên máy chủ phía sau HAProxy, Nginx hay cân bằng tải đám mây bật proxy protocol để biết IP thật của người dùng. Nếu một bên bật mà bên kia không, kết nối lỗi, Wireshark cho thấy dòng PROXY lạ ở đầu kết nối mà máy chủ không hiểu. Chi tiết có trong bài proxy protocol là gì.

Kiểm tra ứng dụng có đi qua proxy không bằng Wireshark proxy

Đây là câu hỏi hay gặp nhất: đã cài proxy, nhưng ứng dụng có thật sự dùng proxy không.

Cách làm

Bắt gói, dùng ứng dụng. Lọc "ip.addr == IP_proxy" để xem kết nối tới proxy, lọc "tcp.flags.syn == 1 && tcp.flags.ack == 0 && !ip.addr == IP_proxy" để xem các kết nối mới đi tới nơi khác. Nếu ứng dụng mở kết nối trực tiếp tới máy chủ của nó, ứng dụng không đi qua proxy.

Dùng tên miền trong bắt tay TLS

Lọc "tls.handshake.extensions_server_name" hiện tên miền của mọi kết nối HTTPS. Kết nối đi thẳng sẽ có gói TLS với IP đích là máy chủ website. Kết nối qua proxy HTTP có gói TLS nằm trong luồng TCP tới IP proxy.

Ứng dụng dùng UDP

Một số ứng dụng dùng UDP, như gọi thoại, trò chơi, giao thức QUIC. Proxy HTTP không chuyển UDP, nên lưu lượng UDP thường đi thẳng. Lọc "udp && !dns" để xem.

Dấu vân tay và Wireshark proxy

Wireshark cũng giúp hiểu những gì website có thể nhìn thấy ở lớp mạng và lớp mã hoá.

Xem thông số bắt tay TLS

Gói Client Hello hiển thị danh sách bộ mã hoá, phần mở rộng, thứ tự của chúng. Đây là nguyên liệu của dấu vân tay TLS như JA3, JA4. So sánh Client Hello của trình duyệt và của thư viện lập trình thấy rõ khác biệt. Chủ đề được giải thích trong bài TLS fingerprint JA3 và proxy.

Xem thông số TCP

Gói SYN hiển thị TTL, kích thước cửa sổ, MSS, tuỳ chọn TCP, là nguyên liệu của dấu vân tay TCP. Khi dùng proxy, website thấy gói SYN của máy chủ proxy chứ không phải của máy anh em, xem bài TCP fingerprint.

Proxy hoạt động ở tầng nào

Quan sát trong Wireshark giúp hiểu rõ proxy HTTP làm việc ở tầng ứng dụng, SOCKS ở tầng phiên, còn VPN ở tầng mạng. Kiến thức nền có trong bài proxy hoạt động ở tầng nào.

Đo hiệu năng proxy bằng Wireshark

Ngoài gỡ lỗi, Wireshark còn giúp đo proxy chậm ở đâu: kết nối tới proxy lâu, proxy phản hồi CONNECT chậm hay website đích chậm.

Thời gian bắt tay TCP tới proxy

Khoảng cách giữa gói SYN và SYN-ACK là thời gian khứ hồi tới proxy. Con số này lớn nghĩa là proxy ở xa hoặc mạng tới proxy kém. Bật cột hiển thị thời gian giữa các gói để đọc nhanh.

Thời gian proxy trả lời CONNECT

Khoảng cách giữa yêu cầu CONNECT và phản hồi 200 gồm thời gian proxy xác thực và mở kết nối tới website đích. Nếu chặng này chậm mà bắt tay TCP nhanh, proxy đang quá tải hoặc đường từ proxy tới website kém.

Thống kê hội thoại

Menu Statistics, Conversations liệt kê các kết nối với số gói, dung lượng, thời gian. Sắp xếp theo dung lượng để thấy kết nối nào tiêu tốn nhiều nhất qua proxy, hữu ích khi dùng proxy tính theo dung lượng.

Biểu đồ lưu lượng

Menu Statistics, I/O Graphs vẽ lưu lượng theo thời gian. Nhìn biểu đồ thấy proxy có bị ngắt quãng, giật cục hay không. Kết hợp với cách đo độ trễ trong bài test ping khi mua proxy.

Dùng tshark cho Wireshark proxy trên máy chủ

Wireshark có công cụ dòng lệnh tshark, dùng được trên máy chủ không có giao diện hoặc trong kịch bản tự động.

Bắt gói trên máy chủ

Chạy tshark với tham số chọn card và bộ lọc khi bắt, ghi ra tệp pcap. Tải tệp về máy cá nhân, mở bằng Wireshark để phân tích bằng giao diện. Cách này hữu ích khi công cụ chạy trên VPS gặp lỗi proxy.

Lọc và in trường cụ thể

tshark nhận bộ lọc hiển thị giống Wireshark và có thể in ra từng trường, ví dụ in mọi mã phản hồi của proxy hoặc mọi tên miền trong bắt tay TLS. Kết quả dạng văn bản dễ đưa vào bảng tính hay kịch bản phân tích.

So sánh với curl

Với kiểm tra nhanh một proxy, lệnh curl kèm tuỳ chọn chi tiết thường đủ và đơn giản hơn. tshark dành cho khi cần thấy từng gói hoặc khi ứng dụng không phải curl. Các lệnh curl hữu ích có trong bài cURL proxy là gì.

Gỡ lỗi kết nối proxy thường gặp bằng Wireshark

Bảng dưới gom các tình huống và dấu hiệu trong Wireshark.

Bảng: Gỡ lỗi kết nối proxy thường gặp bằng Wireshark

Hiện tượng trong ứng dụng	Dấu hiệu trong Wireshark	Nguyên nhân
Không kết nối được proxy	SYN gửi đi, không có SYN-ACK	Proxy chết, tường lửa chặn, sai IP
Bị từ chối ngay	SYN gửi đi, nhận RST	Sai cổng, proxy không nghe cổng đó
Lỗi xác thực	Phản hồi 407 hoặc SOCKS trả 0xFF	Thiếu hoặc sai tài khoản
Lỗi SOCKS	Phản hồi SOCKS mã khác 0x00	Proxy không tới được đích
Lỗi chứng chỉ	Alert TLS sau Server Hello	Proxy hoặc mạng can thiệp HTTPS
Ứng dụng không dùng proxy	Kết nối thẳng tới IP website	Ứng dụng bỏ qua cấu hình proxy

Lỗi SOCKS trên trình duyệt có bài riêng là lỗi ERR_SOCKS_CONNECTION_FAILED. Cách kiểm tra proxy và tường lửa khi không ra mạng có trong bài cách kiểm tra proxy và tường lửa.

Lưu ý bảo mật và đạo đức khi dùng Wireshark proxy

Wireshark là công cụ mạnh, cần dùng đúng chỗ.

Chỉ bắt gói trên mạng của mình

Bắt gói lưu lượng của người khác mà không được phép là vi phạm quyền riêng tư và có thể vi phạm pháp luật. Chỉ dùng Wireshark trên máy và mạng anh em có quyền quản lý, hoặc khi được tổ chức cho phép.

Tệp bắt gói chứa dữ liệu nhạy cảm

Tệp pcap có thể chứa tài khoản mật khẩu proxy, cookie, nội dung HTTP thường. Không chia sẻ tệp bắt gói công khai. Khi gửi cho người hỗ trợ, lọc chỉ phần liên quan và xoá thông tin nhạy cảm.

Giải mã HTTPS bằng khoá phiên

Trình duyệt có thể ghi khoá phiên TLS ra tệp qua biến môi trường SSLKEYLOGFILE, Wireshark dùng tệp này để giải mã HTTPS của chính máy mình. Chỉ dùng cho gỡ lỗi, xoá tệp khoá sau khi xong vì ai có tệp đều giải mã được lưu lượng đã bắt.

Không dùng để tấn công

Kiến thức đọc lưu lượng có thể bị lạm dụng để đánh cắp thông tin trên mạng công cộng. Hiểu rõ rủi ro để tự bảo vệ, cơ chế tấn công trung gian được giải thích trong bài tấn công MITM.

Chọn proxy dễ gỡ lỗi

Khi phân tích bằng Wireshark, proxy có thông tin cấu hình rõ ràng giúp đọc gói nhanh hơn.

Biết rõ loại và cổng

Nhà cung cấp ghi rõ cổng HTTP, cổng SOCKS5, kiểu xác thực giúp đặt bộ lọc chính xác ngay từ đầu.

Hỗ trợ cả hai giao thức

Proxy hỗ trợ cả HTTP và SOCKS5 cho phép thử từng loại khi gỡ lỗi, khoanh vùng lỗi nhanh hơn. Nếu cần proxy Việt Nam ổn định, rõ ràng thông tin cho công việc kỹ thuật, anh em có thể mua proxy tại ProxyVN.

Câu hỏi thường gặp về Wireshark proxy

Wireshark có thấy nội dung HTTPS qua proxy không

Không, nội dung vẫn mã hoá. Wireshark thấy yêu cầu CONNECT, tên miền trong bắt tay TLS, kích thước gói. Muốn đọc nội dung phải có khoá phiên hoặc dùng proxy giải mã như mitmproxy.

Có cài Wireshark làm proxy được không

Không. Wireshark chỉ quan sát, không chuyển tiếp lưu lượng. Muốn proxy trung gian để xem nội dung, dùng mitmproxy, Charles.

Vì sao không thấy gói nào tới proxy

Có thể đang bắt sai card mạng, proxy ở 127.0.0.1 cần bắt loopback, hoặc ứng dụng không dùng proxy. Kiểm tra lại card và cấu hình ứng dụng.

Wireshark có thấy lưu lượng từ proxy tới website không

Không, nếu chỉ bắt trên máy cá nhân. Đoạn đó nằm trên máy chủ proxy. Chỉ quản trị viên máy chủ proxy mới bắt được đoạn này.

Wireshark có phát hiện proxy của người khác dùng không

Wireshark trên máy anh em chỉ thấy lưu lượng của máy đó, hoặc của mạng nếu bắt ở router. Nó cho biết máy nào trong mạng đang kết nối tới địa chỉ proxy nào, nhưng chỉ nên dùng trên mạng mình quản lý.

Tổng kết

Wireshark proxy giúp nhìn tận mắt đoạn đường từ máy tới proxy: yêu cầu CONNECT, phản hồi 200 hay 407, bắt tay SOCKS5 từng bước, truy vấn DNS có rò ra ngoài không, ứng dụng có thật sự đi qua proxy không. Bắt gói đúng card, dùng bộ lọc hiển thị mẫu, đọc phản hồi của proxy, và chỉ phân tích trên mạng của mình. Cần proxy Việt Nam ổn định cho công việc kỹ thuật, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.