Proxy HTTP o HTTPS: què vol dir l’etiqueta?
Distingeix un proxy HTTP que crea túnels cap a webs HTTPS d’un proxy HTTPS que xifra la connexió amb el mateix proxy.
Fes servir l’esquema indicat a la documentació del punt d’escolta del proxy. Quan triïs candidats de la llista de proxys HTTP, confirma aquest esquema abans de configurar el client. Un web HTTPS pot fer servir http://proxy.example:8080; canviar aquest valor per https:// demana un altre tipus de connexió amb el proxy.
| URL del proxy | URL del web | Connexió |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | HTTP sense xifrar cap al proxy i la destinació. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT cap al proxy i, després, TLS amb la destinació a través del túnel. |
https://proxy.example:8443 | https://example.com/ | TLS cap al proxy, amb el túnel cap a la destinació transportat dins d’aquesta connexió. |
Per a un punt d’escolta HTTP convencional que permeti CONNECT, aquesta configuració és coherent:
curl --proxy http://127.0.0.1:8080 https://example.com/La negociació TLS amb el web té lloc després que el proxy accepti el túnel. Si canvies l’URL del proxy a https://, però el punt d’escolta només entén HTTP sense xifrar, la negociació TLS amb el proxy pot fallar abans de contactar amb el web.
Què aporta TLS en la connexió amb el proxy
Un proxy amb TLS protegeix l’enllaç entre el client i el proxy, incloent-hi l’intercanvi CONNECT i l’autenticació al proxy, de l’escolta passiva en aquest trajecte. L’operador del proxy continua gestionant la connexió i coneix la destinació del túnel. Tant el client com el punt d’escolta han de ser compatibles amb aquest mode:
curl --proxy https://proxy.example:8443 https://example.com/Fes servir el nom d’amfitrió real del servei; el certificat ha de coincidir amb aquest nom i ser de confiança. Les restriccions de destinacions i ports continuen vigents.
Amb HTTPS a tots dos costats, hi ha dues comprovacions de certificats. curl permet configurar-les per separat:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert defineix la confiança per al proxy; --cacert la defineix per a la destinació. Si cal, fes servir els paquets de certificats proporcionats per l’administrador; la configuració de confiança del sistema pot ser suficient. Abans de canviar-ne cap, identifica quina negociació ha fallat.
L’etiqueta «HTTPS» d’una llista de proxys pot indicar només que el punt de connexió ha superat una prova CONNECT. Si la llista no explica la prova, l’etiqueta tota sola no diu si el punt d’escolta espera http:// o https://.