Wiresharks Proxy-Bezeichnung kann aus einer Portzuordnung stammen
Prüfen Sie Protokolldissektion und Decode-As-Zuordnungen, wenn in einer TLS-Untersuchung ein HTTP-farbenes Proxy-Paket erscheint.
Eine HTTP-Bezeichnung an einer Proxy-Verbindung kann den für diesen TCP-Port gewählten Dissector widerspiegeln. Eine grüne Zeile kann auch aus einer Färbungsregel stammen: Wireshark färbt Pakete anhand von Anzeigefiltern, und die erste passende Regel gewinnt.
Untersuchen Sie den Protokollbaum und die aktive Decode-As-Zuordnung für die Verbindung. Wenn der konfigurierte Listener TLS auf einem Nicht-Standard-Port verwendet, kann eine HTTP-Portzuordnung unpassend sein. Die Wahl des erwarteten Dissectors hilft, die gespeicherten Bytes zu interpretieren; sie macht aus beliebigen Bytes keinen gültigen TLS-Handshake.
Unterscheiden Sie außerdem die äußere Proxy-Verbindung vom Ziel-TLS innerhalb von CONNECT. Ein einfacher HTTP-Proxy kann eine lesbare CONNECT-Anfrage empfangen, bevor er verschlüsselten Zielverkehr überträgt.
Wenn die TLS-Entschlüsselung mit den passenden Geheimnissen konfiguriert ist, kann Wireshark dekodiertes Anwendungs-HTTP aus einer verschlüsselten Sitzung anzeigen. Erfassen Sie die tatsächlich beteiligten TLS- und Anwendungsschichten, statt eine Protokollspalten-Bezeichnung oder Paketfarbe als unabhängigen Beweis für Klartextübertragung zu werten.