Verificare il proxy HTTPS con un ponte stunnel locale

Fornire all’applicazione un endpoint HTTP in chiaro su loopback mentre stunnel verifica il TLS verso il vero proxy.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

Usate il proxy remoto previsto e un insieme di CA attendibili. verifyChain controlla la catena degli emittenti; checkHost controlla il nome. sni invia il nome, ma non lo verifica.

Indirizzate il client proxy HTTP all’endpoint locale:

curl --proxy http://127.0.0.1:3129 https://www.example.org/

L’applicazione esegue ancora CONNECT e l’eventuale accesso richiesto dal proxy. stunnel aggiunge il tratto TLS, non l’autenticazione HTTP. Il listener remoto deve effettivamente offrire un proxy HTTP su TLS.

Per i siti HTTPS, il TLS della destinazione continua all’interno di questo percorso con la propria verifica normale. I due certificati identificano interlocutori diversi.

Articoli correlati