OpenSSL s_client a través de un proxy HTTP con autenticación básica

Use las opciones proxy_user y proxy_pass de OpenSSL manteniendo activa la verificación del nombre de host de destino.

OpenSSL 3.x s_client ofrece opciones de proxy-user y de origen de contraseña para un proxy HTTP CONNECT. Para un entorno que ya exporta PROXY_USER y PROXY_PASSWORD:

openssl s_client \
  -proxy proxy.example.net:8080 \
  -proxy_user "$PROXY_USER" \
  -proxy_pass env:PROXY_PASSWORD \
  -connect example.com:443 \
  -servername example.com \
  -verify_hostname example.com \
  -verify_return_error

Los nombres reales de las opciones usan guiones bajos: -proxy_user y -proxy_pass. El punto final del proxy es host:port, mientras que connect y servername identifican el destino.

proxy_pass usa la sintaxis de origen de contraseña de OpenSSL. env:PROXY_PASSWORD lee la variable de entorno indicada; file:/path/to/file es otra forma de origen documentada. Una contraseña sin formato no es el mismo formato de argumento.

Las opciones mostradas solicitan la verificación del certificado y del nombre de host, con los errores de verificación tratados como fatales. Proporcione la configuración de CA adecuada, como un CAfile obligatorio, para la instalación y el destino.

Esta autenticación del proxy es autenticación básica. La conexión de proxy mostrada es HTTP simple, por lo que el posterior handshake TLS del destino no cifra ese intercambio de inicio de sesión anterior. No implementa una negociación de proxy NTLM ni Kerberos.

Artículos relacionados