Finu analizi la CONNECT-kapliniojn antaŭ ol plusendi la klientan fluon

Prokura servilo, kiu plusendas nur post la petlinio, povas sendi sian propran Host-kaplinion al la TLS-pordo de la celo.

Post la CONNECT-petlinio, ĉi tiuj bajtoj ankoraŭ apartenas al la prokuro:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Plusendi Host aŭ User-Agent al pordo 443 donas al la celo klartekstajn kapliniojn tie, kie ĝi atendas TLS-on. Tiu fiasko povas okazi antaŭ ol elekto de ĉifro gravas.

  1. Legu kaj analizu ĝis la kaplinia finilo kun malplena linio, ene de agorda templimo kaj limo de kaplinia grandeco.
  2. Apliku la prokuran aŭtentikigon kaj la celpolitikon.
  3. Starigu la aprobitan celan konekton.
  4. Sendu la sukcesan CONNECT-respondon kaj eniru tunelan reĝimon.

Konservu bufritajn bajtojn post la limo por la taŭga sekva stato. Ne forĵetu ilin kaj ne traktu la petkapliniojn de la prokuro kiel postan peton de la retejo.

La kliento havas respondan devon simetrian: finlegi la sukcesan CONNECT-respondon antaŭ ol komenci la tunelan protokolon. Ambaŭ flankoj devas interkonsenti pri la limo, kie la fluo ŝanĝas rolon.

Rilataj artikoloj