HTTP- of HTTPS-instaanbediener: wat beteken die etiket?
Onderskei ’n HTTP-instaanbediener wat tonnels na HTTPS-webwerwe skep van ’n HTTPS-instaanbediener wat die verbinding na die instaanbediener self enkripteer.
Gebruik die skema wat vir die instaanbediener se luisterpunt gedokumenteer is. Wanneer jy kandidate uit die HTTP-instaanbedienerlys kies, bevestig die luisterpunt se skema voordat jy die kliënt opstel. ’n HTTPS-webwerf kan http://proxy.example:8080 gebruik; as jy dié waarde na https:// verander, vra jy vir ’n ander soort verbinding na die instaanbediener.
| Instaanbediener-URL | Webwerf-URL | Verbinding |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Ongeënkripteerde HTTP na die instaanbediener en die bestemming. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT na die instaanbediener, daarna TLS na die bestemming deur die tonnel. |
https://proxy.example:8443 | https://example.com/ | TLS na die instaanbediener, met die bestemming se tonnel binne daardie verbinding. |
Vir ’n gewone HTTP-luisterpunt wat CONNECT toelaat, stem hierdie opstelling ooreen:
curl --proxy http://127.0.0.1:8080 https://example.com/Die webwerf se TLS-handdruk vind plaas nadat die instaanbediener die tonnel aanvaar het. As jy die instaanbediener-URL na https:// verander, maar die luisterpunt verstaan net ongeënkripteerde HTTP, kan die TLS-onderhandeling met die instaanbediener misluk voordat die webwerf gekontak word.
Wat TLS tot by die instaanbediener byvoeg
’n TLS-geaktiveerde instaanbediener beskerm die verbinding tussen kliënt en instaanbediener, insluitend die CONNECT-uitruiling en instaanbedienerverifikasie, teen passiewe afluistering op daardie roete. Die instaanbedieneroperateur hanteer steeds die verbinding en ken die tonnel se bestemming. Die kliënt én die luisterpunt moet hierdie modus ondersteun:
curl --proxy https://proxy.example:8443 https://example.com/Gebruik die diens se werklike gasheernaam; die sertifikaat moet daarmee ooreenstem en vertrou word. Beperkings op bestemmings en poorte geld steeds.
Met HTTPS aan albei kante is daar twee sertifikaatkontroles. curl laat jou toe om hulle afsonderlik op te stel:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert bepaal die vertroue vir die instaanbediener; --cacert bepaal dit vir die bestemming. Gebruik waar nodig sertifikaatbundels wat die administrateur verskaf; die stelsel se vertrouensinstellings kan reeds voldoende wees. Stel vas watter handdruk misluk het voordat jy een van die twee verander.
Die etiket “HTTPS” in ’n instaanbedienerlys kan bloot beteken dat die eindpunt ’n CONNECT-toets geslaag het. Tensy die lys sy toets omskryf, sê dié etiket alleen nie of die luisterpunt http:// of https:// verwag nie.