HTTP- vagy HTTPS-proxy: mit jelent a címke?
A HTTPS-webhelyekhez alagutat létrehozó HTTP-proxy és a magához a proxyhoz vezető kapcsolatot titkosító HTTPS-proxy közötti különbség.
A proxy figyelőjének dokumentációjában megadott sémát használja. Ha a HTTP-proxyk listájából választ jelölteket, a kliens beállítása előtt ellenőrizze a figyelő sémáját. HTTPS-webhelyhez is használható a http://proxy.example:8080; ha ezt https:// értékre cseréli, másfajta kapcsolatot kér a proxyhoz.
| Proxy URL-je | Webhely URL-je | Kapcsolat |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Titkosítatlan HTTP a proxyhoz és a célhoz. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT a proxyhoz, majd TLS a célhoz az alagúton keresztül. |
https://proxy.example:8443 | https://example.com/ | TLS a proxyhoz; a célhoz vezető alagút ezen a kapcsolaton belül halad. |
Egy szokásos, CONNECT-et engedélyező HTTP-figyelőnél ez a beállítás összhangban van a működéssel:
curl --proxy http://127.0.0.1:8080 https://example.com/A webhellyel a TLS-kézfogás azután történik, hogy a proxy elfogadta az alagutat. Ha a proxy URL-jét https:// értékre módosítja, de a figyelő csak titkosítatlan HTTP-t ért, a proxyval folytatott TLS-egyeztetés még a webhely elérése előtt meghiúsulhat.
Mit ad hozzá a proxyig tartó TLS
A TLS-t támogató proxy védi a kliens és a proxy közötti kapcsolatot, beleértve a CONNECT-üzenetváltást és a proxyhitelesítést, az adott szakaszon végzett passzív lehallgatástól. A proxy üzemeltetője továbbra is kezeli a kapcsolatot, és ismeri az alagút célját. Ezt az üzemmódot a kliensnek és a figyelőnek is támogatnia kell:
curl --proxy https://proxy.example:8443 https://example.com/A szolgáltatás valódi gazdagépnevét használja. A tanúsítványnak egyeznie kell ezzel a névvel, és megbízhatónak kell lennie. A célokra és portokra vonatkozó korlátozások továbbra is érvényesek.
Ha mindkét oldalon HTTPS van, két tanúsítvány-ellenőrzés történik. A curl ezeket külön is engedi beállítani:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/A --proxy-cacert a proxyhoz, a --cacert pedig a célhoz tartozó bizalmi beállítást adja meg. Szükség esetén a rendszergazdától kapott tanúsítványcsomagokat használja; a rendszer bizalmi beállításai már elegendők lehetnek. Bármelyik módosítása előtt állapítsa meg, melyik kézfogás hiúsult meg.
Egy proxylista „HTTPS” címkéje csupán annyit is jelenthet, hogy a végpont átment egy CONNECT-teszten. Ha a lista nem írja le a tesztet, a címkéből önmagában nem derül ki, hogy a figyelő http:// vagy https:// sémát vár.