Vérifier le proxy HTTPS derrière un pont stunnel local

Offrir à l’application un point d’accès HTTP en clair sur la boucle locale pendant que stunnel valide TLS vers le véritable proxy.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

Indiquez le proxy distant voulu et un ensemble d’autorités de certification de confiance. verifyChain vérifie sa chaîne de certification ; checkHost vérifie son nom. sni transmet le nom sans le vérifier.

Faites pointer le client proxy HTTP vers le point d’accès local :

curl --proxy http://127.0.0.1:3129 https://www.example.org/

L’application effectue toujours CONNECT et toute authentification requise auprès du proxy. stunnel ajoute le tronçon TLS, pas l’authentification HTTP. Le service distant doit réellement assurer la fonction de proxy HTTP sur TLS.

Pour les sites HTTPS, le TLS de destination continue à l’intérieur de ce trajet avec sa vérification habituelle. Les deux certificats identifient des correspondants différents.

Articles similaires