Proxy HTTP ou HTTPS: que significa a etiqueta?
Distingue un proxy HTTP que crea túneles cara a sitios HTTPS dun proxy HTTPS que cifra a conexión co propio proxy.
Usa o esquema indicado na documentación do punto de escoita do proxy. Ao escoller candidatos da lista de proxys HTTP, confirma ese esquema antes de configurar o cliente. Un sitio HTTPS pode usar http://proxy.example:8080; cambiar ese valor por https:// solicita outro tipo de conexión co proxy.
| URL do proxy | URL do sitio | Conexión |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | HTTP sen cifrar cara ao proxy e ao destino. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT cara ao proxy e, despois, TLS co destino a través do túnel. |
https://proxy.example:8443 | https://example.com/ | TLS cara ao proxy, co túnel ao destino transportado dentro desa conexión. |
Para un punto de escoita HTTP convencional que permita CONNECT, esta configuración é coherente:
curl --proxy http://127.0.0.1:8080 https://example.com/A negociación TLS co sitio ten lugar despois de que o proxy acepte o túnel. Se cambias o URL do proxy a https:// pero o punto de escoita só entende HTTP sen cifrar, a negociación TLS co proxy pode fallar antes de contactar co sitio.
Que achega TLS na conexión co proxy
Un proxy con TLS protexe a ligazón entre o cliente e o proxy, incluídos o intercambio CONNECT e a autenticación no proxy, fronte á escoita pasiva nese tramo. O operador do proxy segue a xestionar a conexión e coñece o destino do túnel. Tanto o cliente como o punto de escoita deben admitir este modo:
curl --proxy https://proxy.example:8443 https://example.com/Usa o nome de servidor real do servizo; o certificado debe coincidir con ese nome e ser de confianza. As restricións de destinos e portos seguen vixentes.
Con HTTPS nos dous lados, hai dúas comprobacións de certificados. curl permite configuralas por separado:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert establece a confianza para o proxy; --cacert establécea para o destino. Se fai falta, usa os paquetes de certificados proporcionados polo administrador; a configuración de confianza do sistema pode ser suficiente. Antes de cambiar calquera das dúas, identifica que negociación fallou.
A etiqueta «HTTPS» dunha lista de proxys pode significar unicamente que o punto de conexión superou unha proba CONNECT. Se a lista non explica a proba, esa etiqueta por si soa non permite saber se o punto de escoita espera http:// ou https://.