تجزیه سرآیندهای CONNECT را پیش از بازپخش جریان کلاینت تمام کنید
سروری واسط که فقط پس از خط درخواست بازپخش می‌کند می‌تواند سرآیند Host خودش را به درگاه TLS مقصد بفرستد.
پس از خط درخواست CONNECT، این بایت‌ها هنوز متعلق به واسط هستند:
CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\nفرستادن Host یا User-Agent به درگاه 443 به مقصد جایی که انتظار TLS دارد سرآیندهای متن ساده می‌دهد. این خطا می‌تواند پیش از آنکه انتخاب رمز اهمیتی داشته باشد رخ دهد.
- تا پایان‌دهنده سرآیند با خط خالی، در محدوده مهلت راه‌اندازی و سقف اندازه سرآیند، بخوانید و تجزیه کنید.
- احراز هویت واسط و سیاست مقصد را اعمال کنید.
- اتصال تأییدشده به هدف را برقرار کنید.
- پاسخ موفق CONNECT را بفرستید و به حالت تونل وارد شوید.
بایت‌های بافرشده پس از مرز را برای حالت بعدی مناسب نگه دارید. آن‌ها را دور نریزید و سرآیندهای درخواست واسط را درخواست بعدی وب‌سایت تلقی نکنید.
کلاینت نیز وظیفه‌ای متناظر در سمت پاسخ دارد: پیش از آغاز پروتکل تونل‌شده خواندن پاسخ موفق CONNECT را تمام کنید. هر دو طرف باید بر سر مرزی که جریان نقش عوض می‌کند توافق کنند.