Termina de analizar las cabeceras CONNECT antes de retransmitir el flujo del cliente

Un servidor proxy que retransmite solo tras la línea de solicitud puede enviar su propia cabecera Host al puerto TLS del destino.

Tras la línea de solicitud CONNECT, estos bytes siguen perteneciendo al proxy:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Reenviar Host o User-Agent al puerto 443 entrega al destino cabeceras en texto plano donde espera TLS. Ese fallo puede ocurrir antes de que la elección de cifrado importe.

  1. Lee y analiza hasta el terminador de cabeceras de línea en blanco, dentro de un plazo de configuración y un límite de tamaño de cabeceras.
  2. Aplica la autenticación del proxy y la política de destino.
  3. Establece la conexión de destino aprobada.
  4. Envía la respuesta CONNECT correcta y entra en modo túnel.

Conserva los bytes almacenados tras el límite para el siguiente estado adecuado. No los descartes ni trates las cabeceras de solicitud del proxy como la solicitud posterior del sitio web.

El cliente tiene una obligación correspondiente en el lado de la respuesta: termina de leer la respuesta CONNECT correcta antes de iniciar el protocolo tunelizado. Ambos extremos deben acordar el límite donde el flujo cambia de papel.

Artículos relacionados