HTTP или HTTPS прокси: какво означава обозначението
Разликата между HTTP прокси, което създава тунели към HTTPS сайтове, и HTTPS прокси, което шифрова връзката със самото прокси.
Използвайте схемата, посочена в документацията на слушащата крайна точка на проксито. Когато избирате кандидати от списъка с HTTP проксита, проверете схемата, преди да настроите клиента. HTTPS сайт може да използва http://proxy.example:8080; промяната на тази стойност на https:// изисква друг вид връзка с проксито.
| URL на проксито | URL на сайта | Връзка |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Нешифрован HTTP към проксито и към целевия сървър. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT към проксито, след което TLS към целевия сървър през тунела. |
https://proxy.example:8443 | https://example.com/ | TLS към проксито, като тунелът към целевия сървър се пренася вътре в тази връзка. |
За обикновена HTTP слушаща крайна точка, която разрешава CONNECT, тази конфигурация е съгласувана:
curl --proxy http://127.0.0.1:8080 https://example.com/TLS договарянето със сайта започва, след като проксито приеме тунела. Ако промените URL на проксито на https://, а то разбира само нешифрован HTTP, TLS договарянето с проксито може да се провали още преди връзката със сайта.
Какво добавя TLS по пътя до проксито
Прокси с поддръжка на TLS защитава връзката между клиента и проксито, включително обмена CONNECT и удостоверяването пред проксито, от пасивно подслушване по този участък. Операторът на проксито продължава да обработва връзката и знае местоназначението на тунела. И клиентът, и слушащата крайна точка трябва да поддържат този режим:
curl --proxy https://proxy.example:8443 https://example.com/Използвайте действителното име на хоста на услугата. Сертификатът трябва да съответства на него и да е доверен. Ограниченията за местоназначения и портове остават в сила.
При HTTPS от двете страни се извършват две проверки на сертификати. curl позволява да ги настроите поотделно:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert задава доверието за проксито, а --cacert — за целевия сървър. При нужда използвайте пакети със сертификати, предоставени от администратора; системните настройки за доверие може вече да са достатъчни. Преди да променяте някоя от настройките, установете кое договаряне е неуспешно.
Обозначението „HTTPS“ в списък с проксита може да означава само, че крайната точка е преминала CONNECT тест. Ако списъкът не описва теста, самото обозначение не показва дали слушащата крайна точка очаква http:// или https://.