HTTP CONNECT: com gestiona HTTPS un servidor intermediari HTTP

Segueix una petició HTTPS a través d'un servidor intermediari HTTP, separa la resposta CONNECT de la del servidor d'origen i localitza on falla el túnel.

«200 Connection Established» vol dir que el servidor intermediari accepta un túnel. El lloc web encara no ha retornat cap pàgina. Després ve TLS amb la destinació i, a continuació, la petició HTTPS pròpiament dita.

De la connexió amb el servidor intermediari a la resposta del web

  1. El client es connecta al punt de connexió del servidor intermediari.
  2. Li demana que es connecti a un amfitrió i un port de destinació.
  3. El servidor intermediari accepta o rebutja aquesta petició.
  4. Un cop acceptada, el client negocia TLS amb la destinació a través del túnel.
  5. El client envia la petició HTTPS i rep la resposta del web dins de TLS.

Una connexió refusada al servidor intermediari, un túnel rebutjat i un error de certificat passen en punts diferents d'aquesta seqüència. Troba l'últim pas completat abans de canviar la configuració.

L'intercanvi CONNECT

En HTTP/1.1, un intercanvi simplificat és així:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection Established

La destinació de la petició és un amfitrió i un port, sense el camí ni els paràmetres de consulta del web. Després d'una resposta CONNECT correcta, la connexió transporta els bytes del túnel. Si la destinació és HTTPS, el següent intercanvi del client és la negociació TLS.

Llegeix el codi numèric en lloc de cercar una coincidència amb la frase explicativa en anglès. Els servidors intermediaris poden fer servir textos diferents per al mateix estat.

Observa-ho amb curl

Per a un servidor intermediari HTTP al port local 8080:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Substitueix l'adreça d'escolta pel teu punt de connexió; si necessites candidats, consulta la llista de proxys HTTP i prova l'entrada escollida. La llista d'excepcions buida garanteix que aquesta invocació triï el servidor intermediari. Cerca, per ordre cronològic, la connexió amb el servidor intermediari, la resposta CONNECT, la verificació del certificat de la destinació i la resposta del web. El text exacte del registre depèn de la compilació de curl.

La destinació pot retornar 404, 429 o 500 després que el servidor intermediari accepti el túnel. També pot fallar durant TLS, abans de retornar cap resposta HTTP.

On s'ha aturat?

ObservacióQuè cal investigar després
Es refusa la connexió amb el servidor intermediariAdreça del servidor intermediari, port d'escolta, procés i accés a la xarxa.
El servidor intermediari retorna 407El compte del servidor intermediari i l'esquema d'autenticació.
El servidor intermediari rebutja una destinació o un portPolítica d'accés i destinacions CONNECT permeses.
El túnel s'obre i després falla la verificació TLSNom de la destinació, magatzem de confiança, rellotge i qualsevol intercepció TLS gestionada.
TLS té èxit i el web retorna un errorLa resposta del web.

Per comparar, mantén un costat fix: prova una altra destinació amb el mateix servidor intermediari o compara la mateixa destinació per una ruta directa permesa.

El túnel continua tenint un operador

El servidor intermediari coneix la destinació CONNECT i gestiona els temps i el volum del trànsit. El TLS d'extrem a extrem habitual protegeix el contingut d'aplicació del web d'un servidor intermediari que no acaba aquella sessió TLS. Un servidor intermediari d'intercepció gestionat en què confia el client té una relació de confiança diferent.

Articles relacionats