HTTP-prokurilo aŭ HTTPS-prokurilo: kion signifas la etikedo?
Distingu HTTP-prokurilon, kiu tunelas al HTTPS-retejoj, de HTTPS-prokurilo, kiu ĉifras la konekton al la prokurilo mem.
Uzu la skemon dokumentitan por la aŭskultanto de la prokurilo. Kiam vi elektas kandidatojn el la listo de HTTP-prokuriloj, konfirmu la skemon antaŭ ol agordi la klienton. HTTPS-retejo povas uzi http://proxy.example:8080; ŝanĝi tiun valoron al https:// petas alian specon de konekto al la prokurilo.
| URL de la prokurilo | URL de la retejo | Konekto |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Neĉifrita HTTP al la prokurilo kaj la celo. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT al la prokurilo, poste TLS al la celo tra la tunelo. |
https://proxy.example:8443 | https://example.com/ | TLS al la prokurilo, kun la tunelo al la celo portata ene de tiu konekto. |
Por ordinara HTTP-aŭskultanto, kiu permesas CONNECT, ĉi tiu agordo estas kohera:
curl --proxy http://127.0.0.1:8080 https://example.com/La TLS-manpremo kun la retejo okazas post kiam la prokurilo akceptas la tunelon. Se vi ŝanĝas la URL de la prokurilo al https://, sed la aŭskultanto komprenas nur neĉifritan HTTP, la TLS-intertraktado kun la prokurilo povas malsukcesi antaŭ ol kontakti la retejon.
Kion aldonas TLS ĝis la prokurilo
TLS-kapabla prokurilo protektas la ligon inter la kliento kaj la prokurilo, inkluzive de la CONNECT-interŝanĝo kaj prokurila aŭtentikigo, kontraŭ pasiva subaŭskultado sur tiu vojo. La funkciiganto de la prokurilo ankoraŭ traktas la konekton kaj konas la celon de la tunelo. Kaj la kliento kaj la aŭskultanto devas subteni ĉi tiun reĝimon:
curl --proxy https://proxy.example:8443 https://example.com/Uzu la veran gastigantan nomon de la servo; ĝia atestilo devas kongrui kun la nomo kaj esti fidata. Limigoj pri celoj kaj pordoj ankoraŭ validas.
Kun HTTPS ambaŭflanke okazas du atestilkontroloj. curl ebligas agordi ilin aparte:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert difinas fidon por la prokurilo; --cacert difinas fidon por la celo. Uzu atestilajn pakaĵojn de la administranto kiam necesas; la sistemaj fidagordoj eble jam sufiĉas. Identigu, kiu manpremo malsukcesis, antaŭ ol ŝanĝi iun el la du.
La etikedo «HTTPS» en listo de prokuriloj povas signifi nur, ke la finpunkto sukcesis en CONNECT-testo. Krom se la listo klarigas sian teston, la etikedo sola ne diras, ĉu la aŭskultanto atendas http:// aŭ https://.