La modalità proxy HTTP di Ncat rispetto a un relè TCP fisso

client → local TCP relay → existing forward proxy → destination

In questa disposizione il relè ha un unico upstream fisso. Inoltra la richiesta del client invariata al proxy diretto esistente. Quel proxy legge l’URL assoluto o la destinazione CONNECT, applica le policy e apre la connessione di destinazione.

Puntare il relè direttamente a un sito web cambia il contratto. Un proxy diretto deve selezionare le destinazioni e gestire l’incapsulamento HTTP e il comportamento delle connessioni; estrarre un nome host dalla prima riga non basta.

Ncat di Nmap offre separatamente una modalità di ascolto consapevole di HTTP:

ncat --listen 127.0.0.1 3128 --proxy-type http

Questo esempio loopback usa l’implementazione proxy di Ncat, non una funzione condivisa da ogni nc. Il suo proxy lato ascolto gestisce i metodi HTTP e CONNECT. Le sue opzioni SOCKS lato client non impostano un server SOCKS in modalità ascolto. Un servizio condiviso permanente richiede anche una gestione mirata delle connessioni, controllo degli accessi e registrazione.

Per l’osservazione, individua il confine della cifratura. Un relè su una connessione proxy HTTP in chiaro vede richieste e risposte del proxy. Dopo CONNECT, l’HTTPS di destinazione è composto da byte TLS, non da contenuto di pagina leggibile. Il TLS verso il proxy nasconde persino lo scambio iniziale del proxy su quel collegamento. Usa la diagnostica di client e proxy per le transazioni interpretate e proteggi i log che possono contenere credenziali o URL sensibili.