efrecon/websockify

镜像概述

websockify曾名为wsproxy，是https://github.com/novnc/noVNC%E9%A1%B9%E7%9B%AE%E7%9A%84%E4%B8%80%E9%83%A8%E5%88%86%E3%80%82%E5%AE%83%E7%9A%84%E6%A0%B8%E5%BF%83%E5%8A%9F%E8%83%BD%E6%98%AF%E8%A7%A3%E6%9E%90WebSocket%E6%8F%A1%E6%89%8B%EF%BC%8C%E5%AE%9E%E7%8E%B0WebSocket%E4%B8%8E%E6%99%AE%E9%80%9Asocket%E4%B9%8B%E9%97%B4%E7%9A%84%E5%8F%8C%E5%90%91%E6%B5%81%E9%87%8F%E8%BD%AC%E5%8F%91%EF%BC%8C%E4%B8%BA%E4%B8%8D%E5%8E%9F%E7%94%9F%E6%94%AF%E6%8C%81WebSocket%E7%9A%84%E5%BA%94%E7%94%A8%E6%88%96%E6%9C%8D%E5%8A%A1%E5%99%A8%E6%8F%90%E4%BE%9BWebSocket%E6%8E%A5%E5%85%A5%E8%83%BD%E5%8A%9B%E3%80%82

核心功能

1. 流量转换：完成客户端WebSocket流量与目标服务普通socket流量的双向转发。
2. 加密连接：支持wss://协议，通过--cert和--key参数加载证书实现加密通信。
3. 会话记录：通过--record选项将客户端与目标的流量记录到指定文件。
4. 迷你web服务器：通过--web DIR选项在同一端口提供静态文件服务。
5. 程序包装：通过LD_PRELOAD库拦截程序bind()调用，将指定端口转发到程序新端口，支持--wrap-mode控制程序退出行为。
6. 日志管理：通过--log-file选项将日志保存到指定文件。
7. 认证插件：通过--auth-plugin和--auth-source实现WebSocket或web请求的身份验证。
8. 令牌路由：通过--token-plugin和--token-source根据客户端令牌或主机名动态路由到不同目标。

使用场景

• 配合noVNC实现远程桌面的WebSocket访问。
• 为传统TCP服务（如Telnet、VNC）提供WebSocket接入能力。
• 需要加密WebSocket连接的敏感数据传输场景。
• 记录流量用于调试或审计。

配置说明

生成自签名证书

若需使用wss://加密连接，可通过openssl生成自签名证书：

bash
openssl req -new -x509 -days 365 -nodes -out self.pem -keyout self.pem

生成时需输入服务器主机名作为通用名称，客户端需信任该证书才能正常连接。

程序包装示例

包装vncserver（后台运行）：

bash
./run 5901 --wrap-mode=ignore -- vncserver -geometry 1024x768 :1

包装telnetd（连接关闭后重启）：

bash
sudo ./run 2023 --wrap-mode=respawn -- telnetd -debug 2023

Docker部署示例

无加密转发

将本地8080端口映射到容器80端口，转发到目标地址xxx.xx.xx.xx:yyy：

bash
docker run -it --rm -p 8080:80 --name websockify efrecon/websockify 80 xxx.xx.xx.xx:yyy

加密转发（使用自定义证书）

将本地4430端口映射到容器443端口，挂载证书目录并指定证书路径：

bash
docker run -it --rm -p 4430:443 -v /path/to/certs:/opt/websockify/config --name websockify efrecon/websockify 443 xxx.xx.xx.xx:yyy --cert=/opt/websockify/config/self.pem --key=/opt/websockify/config/self.pem