HTTP CONNECT: kako HTTP proxy obrađuje HTTPS

Pratite HTTPS zahtjev kroz HTTP proxy, odvojite CONNECT odgovor od odgovora izvornog servera i utvrdite gdje tunel zakazuje.

„200 Connection Established” znači da proxy prihvata tunel. Web stranica još nije vratila stranicu. Slijedi TLS s odredištem, a zatim sam HTTPS zahtjev.

Od veze s proxyjem do odgovora web stranice

  1. Klijent se povezuje s krajnjom tačkom proxyja.
  2. Traži od proxyja da se poveže s odredišnim hostom i portom.
  3. Proxy prihvata ili odbija taj zahtjev.
  4. Nakon prihvatanja klijent kroz tunel dogovara TLS s odredištem.
  5. Klijent šalje HTTPS zahtjev i prima odgovor web stranice unutar TLS-a.

Odbijena veza s proxyjem, odbijen tunel i greška certifikata javljaju se na različitim mjestima u ovom slijedu. Prije mijenjanja postavki pronađite posljednji završeni korak.

CONNECT razmjena

U HTTP/1.1 pojednostavljena razmjena izgleda ovako:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection Established

Cilj zahtjeva je host i port, bez putanje ili upita web stranice. Nakon uspješnog CONNECT odgovora veza prenosi bajtove tunela. Za HTTPS odredište sljedeća razmjena klijenta je TLS rukovanje.

Čitajte brojčani status umjesto poređenja engleskog opisa razloga. Proxyji mogu koristiti različit tekst za isti status.

Posmatrajte pomoću curl-a

Za HTTP proxy na lokalnom portu 8080:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Zamijenite adresu osluškivanja svojom krajnjom tačkom. Ako trebate kandidate, pregledajte listu HTTP proxyja i testirajte odabrani unos. Prazna lista zaobilaženja osigurava da ovaj poziv odabere proxy. Hronološki tražite vezu s proxyjem, CONNECT odgovor, provjeru certifikata odredišta i odgovor web stranice. Tačan tekst zapisa zavisi od curl builda.

Odredište može vratiti 404, 429 ili 500 nakon što proxy prihvati tunel. Može i zakazati tokom TLS-a, prije bilo kakvog HTTP odgovora.

Gdje je stalo?

ZapažanjeŠta dalje istražiti
Veza s proxyjem je odbijenaAdresu proxyja, port osluškivanja, proces i pristup mreži.
Proxy vraća 407Proxy račun i način autentifikacije.
Proxy odbija odredište ili portPravila pristupa i dozvoljena CONNECT odredišta.
Tunel se otvori, a zatim provjera TLS-a ne uspijeNaziv odredišta, spremište povjerenja, sat i eventualno upravljano presretanje TLS-a.
TLS uspije, a web stranica vrati greškuOdgovor web stranice.

Pri poređenju zadržite jednu stranu nepromijenjenom: pokušajte drugo odredište kroz isti proxy ili uporedite isto odredište dozvoljenom direktnom rutom.

Tunel i dalje ima operatera

Proxy zna CONNECT odredište i obrađuje vremenski raspored i obim saobraćaja. Uobičajeni TLS od kraja do kraja štiti aplikacijski sadržaj web stranice od proxyja koji ne završava tu TLS sesiju. Upravljani proxy za presretanje kojem klijent vjeruje ima drugačiji odnos povjerenja.

Povezani članci