L’étiquette de proxy de Wireshark peut venir d’une association de port
Examinez la dissection du protocole et les mappages Decode As lorsqu’un paquet de proxy coloré HTTP apparaît dans une enquête TLS.
Une étiquette HTTP sur une connexion de proxy peut refléter le dissecteur sélectionné pour ce port TCP. Une ligne verte peut aussi venir d’une règle de coloriage : Wireshark colore les paquets à l’aide de filtres d’affichage, et la première règle correspondante l’emporte.
Examinez l’arborescence du protocole et l’association Decode As active pour la connexion. Si l’écouteur configuré utilise TLS sur un port non standard, une association de port HTTP peut être inappropriée. Choisir le dissecteur attendu aide à interpréter les octets enregistrés ; cela ne transforme pas des octets arbitraires en une poignée de main TLS valide.
Distinguez aussi la connexion de proxy externe du TLS de destination à l’intérieur de CONNECT. Un proxy HTTP simple peut recevoir une requête CONNECT lisible avant de transporter le trafic chiffré vers la destination.
Si le déchiffrement TLS est configuré avec les secrets appropriés, Wireshark peut afficher du HTTP applicatif déchiffré provenant d’une session chiffrée. Consignez les couches TLS et applicatives réellement impliquées plutôt que de traiter une étiquette de colonne de protocole ou la couleur d’un paquet comme une preuve indépendante de transmission en clair.