HTTP प्रॉक्सी या HTTPS प्रॉक्सी: इस लेबल का मतलब क्या है?
HTTPS साइटों के लिए टनल बनाने वाले HTTP प्रॉक्सी और खुद प्रॉक्सी तक का कनेक्शन एन्क्रिप्ट करने वाले HTTPS प्रॉक्सी का अंतर समझें।
प्रॉक्सी लिसनर के दस्तावेज़ों में दी गई स्कीम इस्तेमाल करें। HTTP प्रॉक्सी सूची से विकल्प चुनते समय, क्लाइंट कॉन्फ़िगर करने से पहले लिसनर की स्कीम की पुष्टि करें। HTTPS साइट के लिए http://proxy.example:8080 इस्तेमाल किया जा सकता है; इसे https:// में बदलने का मतलब प्रॉक्सी से अलग तरह का कनेक्शन माँगना है।
| प्रॉक्सी URL | वेबसाइट URL | कनेक्शन |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | प्रॉक्सी और गंतव्य, दोनों तक बिना एन्क्रिप्शन वाला HTTP। |
http://proxy.example:8080 | https://example.com/ | प्रॉक्सी तक HTTP CONNECT, फिर टनल के ज़रिए गंतव्य के साथ TLS। |
https://proxy.example:8443 | https://example.com/ | प्रॉक्सी तक TLS, और उसी कनेक्शन के अंदर गंतव्य तक जाने वाली टनल। |
CONNECT की अनुमति देने वाले सामान्य HTTP लिसनर के लिए यह कॉन्फ़िगरेशन सही मेल खाता है:
curl --proxy http://127.0.0.1:8080 https://example.com/वेबसाइट का TLS हैंडशेक तब होता है जब प्रॉक्सी टनल स्वीकार कर लेता है। अगर प्रॉक्सी URL को https:// कर दिया जाए, लेकिन लिसनर सिर्फ़ बिना एन्क्रिप्शन वाला HTTP समझता हो, तो वेबसाइट से संपर्क होने से पहले ही प्रॉक्सी के साथ TLS नेगोशिएशन विफल हो सकता है।
प्रॉक्सी तक TLS से क्या अतिरिक्त सुरक्षा मिलती है?
TLS वाला प्रॉक्सी क्लाइंट और प्रॉक्सी के बीच के कनेक्शन को उस रास्ते पर निष्क्रिय रूप से सुनने वालों से बचाता है। इसमें CONNECT का आदान-प्रदान और प्रॉक्सी प्रमाणीकरण भी शामिल हैं। प्रॉक्सी संचालक फिर भी कनेक्शन संभालता है और टनल का गंतव्य जानता है। इस मोड का समर्थन क्लाइंट और लिसनर, दोनों में होना चाहिए:
curl --proxy https://proxy.example:8443 https://example.com/सेवा का वास्तविक होस्ट नाम इस्तेमाल करें; उसका प्रमाणपत्र उसी नाम से मेल खाना चाहिए और भरोसेमंद होना चाहिए। गंतव्य और पोर्ट संबंधी पाबंदियाँ अब भी लागू रहती हैं।
दोनों तरफ़ HTTPS होने पर प्रमाणपत्र की दो जाँचें होती हैं। curl में इन्हें अलग-अलग कॉन्फ़िगर किया जा सकता है:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert प्रॉक्सी के लिए भरोसे की व्यवस्था तय करता है; --cacert गंतव्य के लिए। ज़रूरत हो तो व्यवस्थापक के दिए प्रमाणपत्र बंडल इस्तेमाल करें; सिस्टम की भरोसा सेटिंग पहले से पर्याप्त हो सकती है। किसी भी सेटिंग को बदलने से पहले पहचानें कि कौन-सा हैंडशेक विफल हुआ था।
किसी प्रॉक्सी सूची का “HTTPS” लेबल सिर्फ़ यह बता सकता है कि एंडपॉइंट ने CONNECT परीक्षण पास किया है। जब तक सूची अपने परीक्षण का तरीका न बताए, अकेले इस लेबल से नहीं पता चलता कि लिसनर http:// चाहता है या https://।