curl через проксі: HTTP, SOCKS5 і часті помилки

curl є майже в будь-якій системі, тому через нього зручно перевірити проксі, перш ніж підключати його до скрипта чи програми. Нижче — команди для HTTP і SOCKS5 з логіном і паролем, різниця між socks5h:// і socks5://, перевірка вихідного IP і розбір помилок, які друкує curl. Команди написано для bash і zsh (macOS і Linux). Дані в прикладах умовні: підставте свої з особистого кабінету.

Рядок проксі та прапорці curl

Особистий кабінет Proxeta видає резидентні й мобільні проксі рядком host:port:login:password. Порт 8080 — це HTTP, порт 1080 — SOCKS5, логін і пароль у них однакові. Локацію й режим сесії записано в логіні, тому копіюйте його повністю; з чого він складається, розібрано в статті формат рядка проксі.

curl приймає ці дані двома прапорцями:

• --proxy (коротка форма -x) — схема, хост і порт: http://host:8080 або socks5h://host:1080;
• --proxy-user (коротка форма -U) — логін і пароль через двокрапку. curl ділить значення за першою двокрапкою, тому двокрапки, @ і / у паролі тут нічого не ламають.

Логін і пароль можна записати й просто в адресу проксі: http://login:password@host:8080. Тоді спецсимволи пароля потрібно закодувати для URL: @ як %40, : як %3A, / як %2F.

curl через HTTP-проксі

Логіни в прикладах скорочено: у рядку з особистого кабінету є ще параметр фільтра, наприклад -filter-medium, тому копіюйте його повністю.

curl -sS --max-time 30 -w '\n' \
  --proxy http://proxy.example.invalid:8080 \
  --proxy-user 'login-country-us:password' \
  https://api64.ipify.org

Команда друкує IP, з якого запит надійшов на сервіс api64.ipify.org, тобто вихідну адресу проксі. Прапорець -sS прибирає індикатор завантаження, але залишає повідомлення про помилки, --max-time 30 обмежує час запиту, а -w '\n' додає перенесення рядка після відповіді.

Для сайту за https:// curl надсилає проксі запит CONNECT з ім’ям сайту й портом 443, а потім шифрує з’єднання із самим сайтом. Проксі бачить, до якого хоста ви звертаєтеся, але не адреси сторінок і не їхній вміст. Схема в --proxy при цьому залишається http://: https:// в адресі проксі означає TLS-з’єднання до самого проксі, а це інший тип проксі.

Той самий запит із логіном усередині адреси:

curl -sS --max-time 30 -w '\n' \
  --proxy 'http://login-country-us:password@proxy.example.invalid:8080' \
  https://api64.ipify.org

Як не залишати пароль в історії оболонки

Пароль із таких команд потрапляє в історію оболонки. Щоб цього уникнути, винесіть параметри у файл конфігурації proxy.conf:

proxy = "http://proxy.example.invalid:8080"
proxy-user = "login-country-us:password"

і передайте його прапорцем -K:

chmod 600 proxy.conf
curl -sS --max-time 30 -w '\n' -K proxy.conf https://api64.ipify.org

chmod 600 залишає доступ до файлу лише вам. Не публікуйте ні цей файл, ні рядки проксі: у них ваш пароль.

curl через SOCKS5: socks5h чи socks5

curl -sS --max-time 30 -w '\n' \
  --proxy socks5h://proxy.example.invalid:1080 \
  --proxy-user 'login-country-us:password' \
  https://api64.ipify.org

Літера h у схемі вирішує, хто перетворює ім’я сайту на IP-адресу:

Із socks5h:// DNS-запит виконує проксі, тому адресу сайту добирають для локації виходу. Із socks5:// ім’я обробляє ваш DNS-сервер: великі сайти й CDN можуть повернути йому адресу сервера поруч із вами, а не поруч із вихідним IP, а ваш DNS-провайдер бачить, які сайти ви відкриваєте. Якщо ваш пристрій не може визначити адресу за ім’ям, curl із socks5:// зупиниться з помилкою Could not resolve host ще до з’єднання із сайтом.

Замість схеми socks5h:// можна використати прапорець --socks5-hostname proxy.example.invalid:1080: він працює так само. В HTTP-проксі такого вибору немає — у запиті CONNECT іде ім’я сайту, і адресу визначає проксі. Докладніше про відмінності протоколів — у статті HTTP чи SOCKS5.

Як перевірити вихідний IP

Сервіс api64.ipify.org відповідає адресою, з якої до нього надійшов запит, і працює за IPv4 та IPv6. Це важливо: без параметра ipv4-true у логіні вихідна адреса може виявитися IPv6. Порівняйте відповідь із проксі та без нього: якщо адреси збігаються, запит пішов повз проксі.

Країну й місто за IP сервіси геолокації визначають за своїми базами, а дані різних баз розходяться. Тому місто, яке показує один сервіс, може не збігтися з тим, що бачить інший сайт.

Цикл нижче тричі запитує IP із рядком ротації й тричі — з рядком липкої сесії:

for login in login-country-us login-country-us-sid-k7m2q9x4ab; do
  echo "$login"
  for i in 1 2 3; do
    curl -sS --max-time 30 -w '\n' \
      --proxy http://proxy.example.invalid:8080 \
      --proxy-user "$login:password" \
      https://api64.ipify.org
  done
done

Кожен запуск curl відкриває нове з’єднання. У режимі ротації (логін без -sid-) кожне нове з’єднання отримує IP з пулу заново, тому адреси змінюються. У липкій сесії всі три відповіді — одна адреса, доки сесія жива; строк сесії не налаштовується, докладніше — у статті sticky-сесія чи ротація.

У межах одного запуску curl повторно використовує з’єднання. Якщо передати дві адреси в одній команді, обидва запити пройдуть через один тунель і вийдуть з одного IP навіть у режимі ротації:

curl -sS --max-time 30 -w '\n' \
  --proxy http://proxy.example.invalid:8080 \
  --proxy-user 'login-country-us:password' \
  https://api64.ipify.org https://api64.ipify.org

Часті помилки й що вони означають

Число в дужках — код завершення curl, його ж повертає команда, тому скрипт може перевіряти $?. Тексти нижче — із curl 8.7.1, в інших версіях формулювання можуть відрізнятися.

Для сайту за http:// тунелю немає: проксі повертає 407 як звичайну відповідь, curl завершується з кодом 0 і виводить тіло цієї відповіді, якщо проксі його надіслав. Щоб побачити код відповіді, додайте -w '%{http_code}\n' або -v.

Як подивитися відповідь проксі

Прапорець -v показує весь обмін: рядки з > надіслав curl, рядки з < надійшли у відповідь. Одразу після > CONNECT іде відповідь проксі: код 200 — тунель відкрито, 407 — логін або пароль не прийнято.

curl -v -sS --max-time 30 -o /dev/null \
  --proxy http://proxy.example.invalid:8080 \
  --proxy-user 'login-country-us:password' \
  https://api64.ipify.org

У виводі -v є рядок Proxy-Authorization: Basic .... Це логін і пароль у кодуванні base64, а не в зашифрованому вигляді, і розкодувати їх може будь-хто. Не публікуйте такий вивід повністю.

Як запускалися приклади

Команди запускалися 5 листопада 2026 року в curl 8.7.1 на macOS через локальні тестові HTTP- і SOCKS5-проксі з логіном і паролем і локальний сайт, а не через шлюз Proxeta. Так перевіряються синтаксис і поведінка curl, але не вихідні IP і робота справжньої мережі. Ті самі прийоми для коду — у статті проксі в Python, а як шлюз видає адреси — у статті що таке backconnect-проксі.