MASQUE（基于 QUIC 的代理隧道)

MASQUE(Multiplexed Application Substrate over QUIC Encryption)是 IETF 制定的一组基于 QUIC 与 HTTP/3 的隧道和代理机制,允许在加密的 HTTP 连接内封装 UDP、IP 等流量,实现代理和 VPN 类功能。

概述

传统代理和 VPN 常使用专门端口和协议,容易被识别和封锁。MASQUE 的思路是复用与普通网页访问相同的 QUIC/HTTP/3 通道来承载被代理的流量,使代理流量与普通 HTTPS 流量混同,既提升隐私性又难以被简单区分。它扩展了 HTTP 的 CONNECT 语义,定义了转发 UDP 和 IP 数据报的方法。

核心原理

• 连接复用:借助 QUIC 的多路流,在一条加密连接中同时承载多个隧道会话,互不阻塞。
• 数据报转发:定义 connect-udp、connect-ip 等机制,把被代理的 UDP 报文或 IP 分组封装进 QUIC 传输。
• 流量混同:代理流量走标准 HTTP/3 端口,外观与普通网页访问相似,增加识别难度。
• 加密隐私:全程基于 QUIC 的 TLS 1.3 加密,连接元数据暴露更少。

应用场景

MASQUE 被用于新一代隐私中继和 VPN 服务,一些浏览器厂商和大型互联网公司借助它构建隐私中继,隐藏用户真实地址。它也适用于需要抗封锁、抗识别的代理场景,以及在受限网络中承载各类应用流量。

常见问题

问:MASQUE 和传统 VPN 有何区别?答:传统 VPN 多用独立协议和端口,易被识别封锁;MASQUE 复用 HTTP/3 通道,代理流量与普通 HTTPS 混同,更难区分,同时受益于 QUIC 的多路复用和低时延。

问:MASQUE 能承载任意流量吗?答:通过 connect-udp 和 connect-ip 等扩展,它可以转发 UDP 报文乃至完整 IP 分组,从而支撑较为通用的隧道需求,而不仅限于 TCP。