وكيل HTTP أم HTTPS: ماذا يعني هذا التصنيف؟
تعرّف إلى الفرق بين وكيل HTTP ينشئ نفقًا إلى مواقع HTTPS ووكيل HTTPS يشفّر الاتصال بالوكيل نفسه.
استخدم مخطط الاتصال المذكور في توثيق منفذ الاستماع للوكيل. عند اختيار وكلاء من قائمة وكلاء HTTP، تحقّق من مخطط منفذ الاستماع قبل إعداد العميل. يمكن لموقع HTTPS استخدام http://proxy.example:8080؛ فتغيير هذه القيمة إلى https:// يطلب نوعًا مختلفًا من الاتصال بالوكيل.
| عنوان URL للوكيل | عنوان URL للموقع | الاتصال |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | HTTP غير مشفّر إلى الوكيل وإلى الوجهة. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT إلى الوكيل، ثم TLS مع الوجهة عبر النفق. |
https://proxy.example:8443 | https://example.com/ | TLS إلى الوكيل، مع حمل النفق المؤدي إلى الوجهة داخل هذا الاتصال. |
بالنسبة إلى منفذ استماع HTTP عادي يسمح بـ CONNECT، يكون هذا الإعداد متوافقًا:
curl --proxy http://127.0.0.1:8080 https://example.com/تحدث مصافحة TLS مع الموقع بعد أن يقبل الوكيل النفق. إذا غيّرت عنوان URL للوكيل إلى https:// بينما لا يفهم منفذ الاستماع إلا HTTP غير المشفّر، فقد يفشل تفاوض TLS مع الوكيل قبل الاتصال بالموقع.
ما الذي يضيفه TLS في الاتصال بالوكيل؟
يحمي الوكيل الذي يدعم TLS الوصلة بين العميل والوكيل، بما فيها تبادل CONNECT والمصادقة لدى الوكيل، من التنصّت السلبي على ذلك المسار. يظل مشغّل الوكيل مسؤولًا عن معالجة الاتصال ويعرف وجهة النفق. ويجب أن يدعم كل من العميل ومنفذ الاستماع هذا النمط:
curl --proxy https://proxy.example:8443 https://example.com/استخدم اسم المضيف الفعلي للخدمة؛ يجب أن تطابقه شهادتها وأن تكون موثوقة. وتظل القيود المفروضة على الوجهات والمنافذ سارية.
عند استخدام HTTPS على الجانبين، يُجرى فحصان للشهادات. يتيح curl ضبط الفحصين بصورة منفصلة:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/يوفّر --proxy-cacert إعداد الثقة الخاص بالوكيل، بينما يوفّر --cacert إعداد الثقة الخاص بالوجهة. استخدم حزم الشهادات التي يقدّمها المسؤول عند الحاجة؛ فقد تكون إعدادات الثقة في النظام كافية أصلًا. حدّد المصافحة التي فشلت قبل تغيير أيٍّ من الإعدادين.
قد لا يعني تصنيف «HTTPS» في قائمة الوكلاء سوى أن نقطة الاتصال اجتازت اختبار CONNECT. ما لم توضّح القائمة طريقة الاختبار، فلا يخبرك هذا التصنيف وحده إن كان منفذ الاستماع يتوقع http:// أم https://.