HTTP-proxy eller HTTPS-proxy: hvad betyder betegnelsen?
Forskellen mellem en HTTP-proxy, der opretter tunneler til HTTPS-websteder, og en HTTPS-proxy, der krypterer forbindelsen til selve proxyen.
Brug det skema, som er dokumenteret for proxyens lyttepunkt. Når du vælger kandidater fra listen over HTTP-proxyer, skal du kontrollere lyttepunktets skema, før du konfigurerer klienten. Et HTTPS-websted kan bruge http://proxy.example:8080; ændrer du værdien til https://, beder du om en anden type forbindelse til proxyen.
| Proxyens URL | Webstedets URL | Forbindelse |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Ukrypteret HTTP til proxyen og destinationen. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT til proxyen, derefter TLS til destinationen gennem tunnelen. |
https://proxy.example:8443 | https://example.com/ | TLS til proxyen med tunnelen til destinationen inde i denne forbindelse. |
For et almindeligt HTTP-lyttepunkt, der tillader CONNECT, er denne konfiguration sammenhængende:
curl --proxy http://127.0.0.1:8080 https://example.com/TLS-håndtrykket med webstedet sker, efter at proxyen har accepteret tunnelen. Hvis du ændrer proxyens URL til https://, men lyttepunktet kun forstår ukrypteret HTTP, kan TLS-forhandlingen med proxyen fejle, før webstedet kontaktes.
Hvad TLS til proxyen tilføjer
En proxy med TLS beskytter forbindelsen mellem klienten og proxyen, herunder CONNECT-udvekslingen og proxygodkendelsen, mod passiv aflytning på den strækning. Proxyoperatøren håndterer stadig forbindelsen og kender tunnelens destination. Både klienten og lyttepunktet skal understøtte denne tilstand:
curl --proxy https://proxy.example:8443 https://example.com/Brug tjenestens rigtige værtsnavn; certifikatet skal passe til navnet og være betroet. Begrænsninger for destinationer og porte gælder stadig.
Med HTTPS på begge sider er der to certifikatkontroller. curl lader dig konfigurere dem hver for sig:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert angiver tilliden til proxyen; --cacert angiver tilliden til destinationen. Brug om nødvendigt certifikatpakker fra administratoren; systemets tillidsindstillinger kan allerede være tilstrækkelige. Find ud af, hvilket håndtryk der fejlede, før du ændrer nogen af dem.
Betegnelsen ”HTTPS” i en proxyliste kan blot betyde, at endepunktet har bestået en CONNECT-test. Medmindre listen beskriver testen, fortæller betegnelsen alene ikke, om lyttepunktet forventer http:// eller https://.