pale-knight /tunnel — Network Reachability & Pivoting
定位： 已有 foothold 之后，把“原本不可达的 IP/Port/Network”变成可达。
不负责扫描/漏洞利用；不负责长期 C2/persistence；不把所有“隐蔽通信”都塞进 tunnel。
开局与收尾
开局第一件事：Read ./notes.md。没有则 python ~/.claude/skills/bin/notes.py init。只按已拿下/凭据继续。
走到哪条链，才 Read 一份 references/<file>.md。禁止开局全读、禁止凭记忆写 payload。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。
收尾：
- 追加
./notes.md python ~/.claude/skills/bin/modules.py tail <本模块名>Read 备用：~/.claude/skills/shared/modules.yaml禁止./modules.yaml和python ../bin/...- 优先
default_next；never_default不得当作默认（操作者点名除外） - 名册外的名字不许建议
- 停。等操作者选
/模块或/clear/edr-bypass半条链未完：打通后回本模块，不要 /clear。
0. 输入
Foothold host
operator reachable addresses
foothold interfaces/routes/DNS
required destination subnet/port
outbound constraints
inbound constraints
privilege level
先明确你需要的是：
full subnet routing
single TCP/UDP forward
reverse forward
SOCKS proxy
multi-hop pivot
temporary public exposure of a local service
1. P0：Ligolo-ng
现代默认首选之一。官方当前支持 TUN、TCP/UDP/ICMP、多 agent、多 tunnel、listener/bind、自动恢复；0.8+ 还加入 Web UI/API、daemon、auto-bind、autoroute，当前 release 已到 0.9.x。
适合：
完整内网网段
直接使用 nmap/curl/smb/ssh 等工具
不想全局 proxychains
多 hop
详见 references/ligolo-ng.md。
2. HTTP/受限出口：Chisel / GOST v3
Chisel
单文件、TCP/UDP over HTTP + SSH security，适合严格 HTTP egress 和单/少量 forward。
GOST v3
当前 go-gost/gost v3 支持 TCP/UDP、SOCKS、HTTP/2/3、QUIC、WebSocket、SSH、TUN/TAP、多级转发链和反向代理，适合复杂 transport 组合。
详见 references/chisel-gost.md。
3. Native SSH / OS forwarding
如果已经有 SSH/系统能力，不必为了“最新”额外投放工具：
ssh -L / -R / -D
ProxyJump
socat
netsh interface portproxy
详见 references/native-forwarding.md。
4. Microsoft Dev Tunnels / legitimate tunnel services
Microsoft Dev Tunnels 原本用于把 localhost/web services 临时暴露到 Internet。对授权红队来说，可以作为网络可达性候选：
internal/local service
→ Dev Tunnel relay
→ external operator reachability
如果某工具进一步把 Dev Tunnels 做成完整 C2/RPC implant，那部分属于 /post 的 C2/OPSEC，不在 /tunnel 维护。
详见 references/dev-tunnels.md。
5. Fallback transports
当标准 TCP/HTTP egress 不可用，再考虑：
DNS / DoH
WebSocket
HTTP2/HTTP3
QUIC
ICMP (environment dependent)
这些是 transport fallback，不等于“越隐蔽越好”。优先选择稳定、可诊断、对目标网络影响可控的路径。
详见 references/fallback-transports.md。
6. Multi-hop
每一跳都要记录：
pivot identity
reachable subnet
return path
route installed
listener/forward dependency
failure domain
不要把 3 跳网络做成一串不可恢复的一次性命令。
详见 references/multi-hop.md。
7. 成功判断
Before: operator cannot connect to DEST
After : operator can establish required TCP/UDP/application connection to DEST
例：
nc -vz 10.20.30.40 445
curl -k https://10.20.30.40:8443/
不要把“agent connected”当成 tunnel 成功；必须验证目标网络/service 真正可达。
完成后
写入 ./notes.md。候选只按「开局与收尾」跑 python ~/.claude/skills/bin/modules.py tail。