HTTP CONNECT: Sådan håndterer en HTTP-proxy HTTPS
Følg en HTTPS-forespørgsel gennem en HTTP-proxy, skeln mellem CONNECT-svaret og svaret fra oprindelsesserveren, og find ud af, hvor tunnelen fejler.
“200 Connection Established” betyder, at proxyen accepterer en tunnel. Webstedet har endnu ikke returneret en side. Derefter følger TLS med destinationen og så selve HTTPS-forespørgslen.
Fra proxyforbindelse til webstedets svar
- Klienten opretter forbindelse til proxyens endpoint.
- Den beder proxyen oprette forbindelse til en destinationsvært og port.
- Proxyen accepterer eller afviser anmodningen.
- Efter accept forhandler klienten TLS med destinationen gennem tunnelen.
- Klienten sender HTTPS-forespørgslen og modtager webstedets svar inde i TLS.
En afvist forbindelse til proxyen, en afvist tunnel og en certifikatfejl opstår forskellige steder i denne rækkefølge. Find det sidst gennemførte trin, før du ændrer indstillinger.
CONNECT-udvekslingen
I HTTP/1.1 ser en forenklet udveksling sådan ud:
CONNECT example.com:443 HTTP/1.1
Host: example.com:443
HTTP/1.1 200 Connection Established
Målet for anmodningen er en vært og en port, uden webstedets sti eller forespørgselsparametre. Efter et vellykket CONNECT-svar transporterer forbindelsen tunnelbytes. Ved en HTTPS-destination er klientens næste udveksling TLS-handshaket.
Læs den numeriske status frem for at matche den engelske begrundelsestekst. Proxyer kan bruge forskellig tekst til samme status.
Følg med via curl
For en HTTP-proxy på lokal port 8080:
curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/Erstat lytteadressen med dit endpoint; har du brug for kandidater, så gennemse listen over HTTP-proxyer og test den valgte post. Den tomme undtagelsesliste sikrer, at dette kald vælger proxyen. Se i kronologisk rækkefølge efter proxyforbindelsen, CONNECT-svaret, kontrollen af destinationscertifikatet og webstedets svar. Loggens præcise ordlyd afhænger af curl-buildet.
Destinationen kan returnere 404, 429 eller 500, efter at proxyen har accepteret tunnelen. Den kan også fejle under TLS, før den returnerer noget HTTP-svar.
Hvor stoppede det?
| Observation | Næste undersøgelse |
|---|---|
| Forbindelsen til proxyen afvises | Proxyadresse, lytteport, proces og netværksadgang. |
| Proxyen returnerer 407 | Proxykontoen og godkendelsesmetoden. |
| Proxyen afviser en destination eller port | Adgangspolitik og tilladte CONNECT-destinationer. |
| Tunnelen åbner, men TLS-kontrollen fejler bagefter | Destinationsnavn, tillidslager, ur og eventuel administreret TLS-aflytning. |
| TLS lykkes, og webstedet returnerer en fejl | Webstedets svar. |
Hold den ene side uændret ved sammenligninger: prøv en anden destination gennem samme proxy, eller sammenlign samme destination via en tilladt direkte rute.
Tunnelen har stadig en operatør
Proxyen kender CONNECT-destinationen og håndterer trafikkens timing og mængde. Almindelig ende-til-ende-TLS beskytter webstedets applikationsindhold mod en proxy, der ikke terminerer den TLS-session. En administreret aflytningsproxy, som klienten har tillid til, indebærer et andet tillidsforhold.