로컬 stunnel 브리지에서 HTTPS 프록시의 신원 확인하기

앱에는 루프백의 평문 HTTP 엔드포인트를 제공하고, 실제 프록시까지의 TLS는 stunnel이 검증하게 합니다.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

접속하려는 원격 프록시와 신뢰할 수 있는 CA 묶음을 지정하세요. verifyChain은 발급자 인증서 체인을 확인하고, checkHost는 이름을 확인합니다. sni는 이름을 전송하지만 검증하지는 않습니다.

HTTP 프록시 클라이언트가 로컬 엔드포인트에 연결하도록 설정하세요.

curl --proxy http://127.0.0.1:3129 https://www.example.org/

CONNECT와 필요한 프록시 로그인은 여전히 앱이 수행합니다. stunnel이 추가하는 것은 TLS 구간이며 HTTP 인증이 아닙니다. 원격 리스너는 실제로 TLS를 통한 HTTP 프록시 기능을 제공해야 합니다.

HTTPS 웹사이트의 경우 대상 서버의 TLS는 이 경로 안에서 자체적인 일반 검증을 유지하며 이어집니다. 두 인증서는 서로 다른 통신 상대를 식별합니다.

관련 글