HTTP CONNECT: sa behannelet in HTTP-proxy HTTPS

Folgje in HTTPS-fersyk troch in HTTP-proxy, ûnderskied it CONNECT-antwurd fan it antwurd fan de oarspronklike tsjinner en fyn wêr't de tunnel mislearret.

‘200 Connection Established’ betsjut dat de proxy in tunnel akseptearret. De webside hat noch gjin side weromstjoerd. Dêrnei folget TLS mei it doel, en dan it HTTPS-fersyk sels.

Fan proxyferbining oant it antwurd fan de webside

  1. De kliïnt ferbynt mei it einpunt fan de proxy.
  2. Hy freget de proxy om te ferbinen mei in doelhost en poarte.
  3. De proxy akseptearret of wegeret dat fersyk.
  4. Nei akseptaasje ûnderhannelet de kliïnt troch de tunnel oer TLS mei it doel.
  5. De kliïnt stjoert it HTTPS-fersyk en ûntfangt it antwurd fan de webside binnen TLS.

In wegere proxyferbining, in ôfwiisde tunnel en in sertifikaatflater komme op ferskillende punten yn dizze folchoarder foar. Fyn de lêste foltôge stap foar't jo ynstellingen feroarje.

De CONNECT-útwikseling

Yn HTTP/1.1 sjocht in ferienfâldige útwikseling der sa út:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection Established

It fersykdoel is in host en poarte, sûnder it paad of de fraachparameters fan de webside. Nei in slagge CONNECT-antwurd ferfiert de ferbining tunnelbytes. Foar in HTTPS-doel is de folgjende útwikseling fan de kliïnt de TLS-hândruk.

Lês de numerike status ynstee fan de Ingelske redenfraze eksakt te ferlykjen. Proxy's kinne foar deselde status ferskillende tekst brûke.

Besjen mei curl

Foar in HTTP-proxy op lokale poarte 8080:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Ferfang it lústeradres troch jo einpunt. Hawwe jo kandidaten nedich, besjoch dan de list mei HTTP-proxy’s en test de keazen yngong. De lege útsûnderingslist soarget derfoar dat dizze oprop de proxy kiest. Sykje yn tiidfolchoarder nei de proxyferbining, it CONNECT-antwurd, de kontrôle fan it doelsertifikaat en it antwurd fan de webside. De krekte logtekst hinget fan de curl-bou ôf.

It doel kin 404, 429 of 500 weromjaan neidat de proxy de tunnel akseptearre hat. It kin ek ûnder TLS misgean, noch foar't der in HTTP-antwurd weromkomt.

Wêr stoppe it?

WaarnimmingWat jo dêrnei ûndersykje
De ferbining mei de proxy wurdt wegereProxyadres, lústerpoarte, proses en netwurktagong.
De proxy jout 407 weromIt proxyakkount en de autentikaasjemetoade.
De proxy wegeret in doel of poarteTagongsbelied en tastiene CONNECT-doelen.
De tunnel giet iepen, dêrnei mislearret de TLS-kontrôleDoelnamme, fertrouwensopslach, klok en eventuele behearde TLS-ûnderskepping.
TLS slagget en de webside jout in flater weromIt antwurd fan de webside.

Hâld by fergelikingen ien kant gelyk: besykje in oar doel troch deselde proxy of ferlykje itselde doel oer in tastiene direkte rûte.

De tunnel hat noch altyd in behearder

De proxy ken it CONNECT-doel en ferwurket de timing en hoemannichte fan it ferkear. Gewoane ein-oan-ein-TLS beskermet de tapassingsynhâld fan de webside tsjin in proxy dy't dy TLS-sesje net beëiniget. In behearde ûnderskeppingsproxy dy't de kliïnt fertrout, hat in oare fertrouwensrelaasje.

Relatearre artikelen