MASQUE CONNECT-UDP：HTTP 代理怎样替你转发 UDP 流量？
TL;DR
CONNECT-UDP 定义了通过 HTTP 代理转发 UDP 数据报的一种方式，是 MASQUE 技术体系的重要构件。本文用“把数据交给中转站再封装送出”的路径解释它，并厘清代理能看到什么、它不等同于什么。
CONNECT-UDP 定义了通过 HTTP 代理转发 UDP 数据报的一种方式，是 MASQUE 技术体系的重要构件。本文用“把数据交给中转站再封装送出”的路径解释它，并厘清代理能看到什么、它不等同于什么。
有些应用只会发送 UDP 数据，却希望网络流量经过一个 HTTP 代理；代理协议原本更擅长转发网页请求。MASQUE 中的 CONNECT-UDP 扩展把两者连接起来：客户端可以通过 HTTP 隧道，请求代理代为向指定目标转发 UDP 数据报。
把 UDP 包交给 HTTP 中转站
客户端先与代理建立 HTTP 连接，再发送 CONNECT-UDP 请求，指明要连接的目标。代理接受后，客户端就能把 UDP 数据报装入隧道传给代理；代理取出数据，再通过 UDP 发往目标。返回的数据沿相反方向封装回客户端。HTTP/3 与 QUIC 的组合能让这类隧道适配基于 QUIC 的应用场景，但协议本身也定义了相应的 HTTP 扩展机制。
可以把它想成跨国寄送一种特殊包裹：本地承运公司不直接经营目的地路线，于是把包裹交给有资质的中转站。HTTP 隧道是承运单和转运线路，UDP 数据报是包裹里的内容。应用无需为每个网络环境重新发明代理协议，只要客户端和代理实现了约定即可。
代理拓宽了连通性，也带来新的信任点
CONNECT-UDP 能让受限网络中的应用借助代理访问 UDP 服务，但代理并非隐形。它会知道客户端连接了哪个代理，并按请求看到目标等路由信息；具体能否读取隧道内容，取决于外层加密、应用自身加密及代理部署方式。若应用数据本来没有端到端保护，不能假设“走 HTTP 隧道就自动保密”。
这也不等于传统意义上所有 VPN 的功能。VPN 往往在网络层建立虚拟接口，把更多设备流量纳入隧道；CONNECT-UDP 是面向特定应用或协议栈的代理机制，访问范围、DNS 行为、代理策略和认证方式取决于实现。客户端必须信任代理，并考虑代理故障、滥用与隐私日志。
MASQUE 的实用价值在于复用成熟的 HTTP 代理与加密连接能力，为 UDP 流量提供可组合的隧道方式。部署前应先明确目标服务、代理可见信息、端到端加密需求和失败回退策略；“能够转发”只是连通性的答案，不是完整的安全评估。
