HTTP CONNECT: πώς ένας HTTP proxy χειρίζεται το HTTPS
Ακολουθήστε ένα αίτημα HTTPS μέσα από HTTP proxy, ξεχωρίστε την απόκριση CONNECT από την απόκριση του αρχικού διακομιστή και εντοπίστε πού αποτυγχάνει η σήραγγα.
Το «200 Connection Established» σημαίνει ότι ο proxy αποδέχεται μια σήραγγα. Ο ιστότοπος δεν έχει επιστρέψει ακόμη σελίδα. Ακολουθεί το TLS με τον προορισμό και μετά το ίδιο το αίτημα HTTPS.
Από τη σύνδεση στον proxy έως την απόκριση του ιστοτόπου
- Ο πελάτης συνδέεται στο endpoint του proxy.
- Ζητά από τον proxy να συνδεθεί σε έναν κεντρικό υπολογιστή και μια θύρα προορισμού.
- Ο proxy αποδέχεται ή απορρίπτει το αίτημα.
- Μετά την αποδοχή, ο πελάτης διαπραγματεύεται TLS με τον προορισμό μέσα από τη σήραγγα.
- Ο πελάτης στέλνει το αίτημα HTTPS και λαμβάνει την απόκριση του ιστοτόπου μέσα στο TLS.
Η άρνηση σύνδεσης στον proxy, η απόρριψη της σήραγγας και ένα σφάλμα πιστοποιητικού συμβαίνουν σε διαφορετικά σημεία αυτής της ακολουθίας. Βρείτε το τελευταίο βήμα που ολοκληρώθηκε πριν αλλάξετε ρυθμίσεις.
Η ανταλλαγή CONNECT
Στο HTTP/1.1, μια απλουστευμένη ανταλλαγή είναι η εξής:
CONNECT example.com:443 HTTP/1.1
Host: example.com:443
HTTP/1.1 200 Connection Established
Ο στόχος του αιτήματος είναι ένας κεντρικός υπολογιστής και μια θύρα, χωρίς τη διαδρομή ή τις παραμέτρους ερωτήματος του ιστοτόπου. Μετά από επιτυχημένη απόκριση CONNECT, η σύνδεση μεταφέρει τα byte της σήραγγας. Για προορισμό HTTPS, η επόμενη ανταλλαγή του πελάτη είναι η χειραψία TLS.
Διαβάστε τον αριθμητικό κωδικό κατάστασης αντί να αναζητάτε την ίδια αγγλική επεξηγηματική φράση. Οι proxy μπορούν να χρησιμοποιούν διαφορετικό κείμενο για την ίδια κατάσταση.
Παρατήρηση με curl
Για έναν HTTP proxy στην τοπική θύρα 8080:
curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/Αντικαταστήστε τη διεύθυνση ακρόασης με το endpoint σας. Αν χρειάζεστε υποψηφίους, δείτε τη λίστα HTTP proxy και δοκιμάστε την επιλεγμένη εγγραφή. Η κενή λίστα εξαιρέσεων εξασφαλίζει ότι αυτή η κλήση επιλέγει τον proxy. Αναζητήστε με χρονική σειρά τη σύνδεση στον proxy, την απόκριση CONNECT, την επαλήθευση του πιστοποιητικού προορισμού και την απόκριση του ιστοτόπου. Η ακριβής διατύπωση του αρχείου καταγραφής εξαρτάται από το build του curl.
Ο προορισμός μπορεί να επιστρέψει 404, 429 ή 500 αφού ο proxy αποδεχτεί τη σήραγγα. Μπορεί επίσης να αποτύχει κατά το TLS πριν επιστρέψει οποιαδήποτε απόκριση HTTP.
Πού σταμάτησε;
| Παρατήρηση | Τι να ελέγξετε μετά |
|---|---|
| Η σύνδεση στον proxy απορρίπτεται | Διεύθυνση proxy, θύρα ακρόασης, διεργασία και πρόσβαση στο δίκτυο. |
| Ο proxy επιστρέφει 407 | Ο λογαριασμός του proxy και ο μηχανισμός ελέγχου ταυτότητας. |
| Ο proxy απορρίπτει προορισμό ή θύρα | Πολιτική πρόσβασης και επιτρεπόμενοι προορισμοί CONNECT. |
| Η σήραγγα ανοίγει και μετά αποτυγχάνει η επαλήθευση TLS | Όνομα προορισμού, αποθήκη εμπιστοσύνης, ρολόι και τυχόν διαχειριζόμενη υποκλοπή TLS. |
| Το TLS επιτυγχάνει και ο ιστότοπος επιστρέφει σφάλμα | Η απόκριση του ιστοτόπου. |
Για συγκρίσεις, κρατήστε τη μία πλευρά σταθερή: δοκιμάστε άλλον προορισμό μέσω του ίδιου proxy ή συγκρίνετε τον ίδιο προορισμό από επιτρεπόμενη απευθείας διαδρομή.
Η σήραγγα εξακολουθεί να έχει διαχειριστή
Ο proxy γνωρίζει τον προορισμό CONNECT και χειρίζεται τον χρονισμό και τον όγκο της κίνησης. Το συνηθισμένο TLS από άκρο σε άκρο προστατεύει το περιεχόμενο εφαρμογής του ιστοτόπου από έναν proxy που δεν τερματίζει αυτή τη συνεδρία TLS. Ένας διαχειριζόμενος proxy υποκλοπής τον οποίο εμπιστεύεται ο πελάτης έχει διαφορετική σχέση εμπιστοσύνης.