先看选择结论

判断项用户名密码IP 白名单
客户端出口是否固定不要求固定通常必须稳定
撤销单个客户端可按账号或凭据处理常按出口地址处理
常见故障凭据错误、编码或认证方案不匹配出口变化、NAT 共享、IPv4/IPv6 不一致
主要风险凭据泄露共享出口范围过大或变更失控

如果团队无法保证出口地址稳定，不应只依赖 IP 白名单；如果使用凭据，则必须有安全存储、轮换和撤销机制。

用户名密码认证的边界

SOCKS5 的用户名密码子协商由 RFC 1929 描述。该机制解决“谁可以使用代理”的问题，并不自动保护凭据在传输链路上的机密性。RFC 1929 明确指出其密码字段是明文形式，因此不能把认证成功误解为链路已经加密。

生产环境中应避免把凭据直接写入代码、截图、命令历史或日志。优先使用受控的密钥存储或运行时注入，并为不同系统分配可独立撤销的凭据。

IP 白名单的边界

白名单判断的是代理服务看到的源地址。办公网络、云 NAT、运营商网络和双栈环境都可能让“本机看到的地址”与服务端看到的地址不同。先从受控测试目标确认实际出口，再添加白名单。

共享 NAT 后的多个设备可能共用同一公网地址，因此白名单粒度可能大于单个用户。出口地址发生变化时，应通过变更流程先验证新地址，再移除旧地址，避免中断或长期放大授权范围。

上线检查清单

  1. 确认代理协议、端口、认证方式和允许的来源范围。
  2. 用一个最小权限测试账号或测试出口完成连通性验证。
  3. 记录成功、认证失败、超时三类结果，但不记录明文凭据。
  4. 分别从 IPv4 和 IPv6 环境验证，确认白名单匹配的是哪一种地址族。
  5. 设定凭据轮换或出口变更的回退步骤，并在停用时及时撤销。

与 407 状态码的关系

HTTP 代理要求认证时，缺失或无效的代理凭据通常会得到 407，并通过 Proxy-Authenticate 指示挑战。它不同于目标网站返回的 401。排查时先确定响应来自代理还是目标站，再检查认证方案和凭据。

常见问题

IP 白名单比用户名密码更安全吗？

不能一概而论。白名单避免在每次连接中携带账号密码，但共享 NAT 会扩大授权范围，动态出口也容易导致失效；用户名密码便于按账号撤销，但必须安全存储和传输。

认证成功是否代表流量已经加密？

不是。认证用于确认使用者身份，链路是否加密取决于代理类型、目标协议和客户端实现。

为什么白名单已经添加仍然无法连接？

常见原因是服务端看到的出口地址与本机判断不同、IPv4/IPv6 地址族不一致、端口或协议配置错误，或者配置尚未生效。

继续阅读

主要参考资料

资料最后复核：2026-09-05。外部文档可能更新，操作前请核对来源页面当前版本。