Termina l'analisi delle intestazioni CONNECT prima di inoltrare il flusso del client

Un server proxy che inoltra solo dopo la riga di richiesta può inviare la propria intestazione Host alla porta TLS della destinazione.

Dopo la riga di richiesta CONNECT, questi byte appartengono ancora al proxy:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Inoltrare Host o User-Agent alla porta 443 fornisce alla destinazione intestazioni in testo semplice dove si aspetta TLS. Questo errore può verificarsi prima che la scelta di un cifrario abbia importanza.

  1. Leggi e analizza fino al terminatore delle intestazioni con riga vuota, entro una scadenza di configurazione e un limite di dimensione delle intestazioni.
  2. Applica l'autenticazione del proxy e la policy di destinazione.
  3. Stabilisci la connessione di destinazione approvata.
  4. Invia la risposta CONNECT riuscita ed entra in modalità tunnel.

Conserva i byte memorizzati nel buffer dopo il confine per il successivo stato appropriato. Non scartarli e non trattare le intestazioni di richiesta del proxy come la successiva richiesta del sito.

Il client ha un obbligo corrispondente lato risposta: terminare la lettura della risposta CONNECT riuscita prima di avviare il protocollo incapsulato. Entrambe le estremità devono concordare sul confine in cui il flusso cambia ruolo.

Articoli correlati