HTTP vai HTTPS starpniekserveris: ko nozīmē apzīmējums?
Atšķiriet HTTP starpniekserveri, kas veido tuneļus uz HTTPS vietnēm, no HTTPS starpniekservera, kas šifrē savienojumu ar pašu starpniekserveri.
Izmantojiet shēmu, kas norādīta starpniekservera klausītāja dokumentācijā. Izvēloties kandidātus no HTTP starpniekserveru saraksta, pirms klienta konfigurēšanas pārbaudiet klausītāja shēmu. HTTPS vietne var izmantot http://proxy.example:8080; nomainot šo vērtību uz https://, tiek pieprasīts cita veida savienojums ar starpniekserveri.
| Starpniekservera URL | Vietnes URL | Savienojums |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Nešifrēts HTTP līdz starpniekserverim un galamērķim. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT līdz starpniekserverim, pēc tam TLS ar galamērķi caur tuneli. |
https://proxy.example:8443 | https://example.com/ | TLS līdz starpniekserverim; tunelis uz galamērķi tiek pārnests šī savienojuma iekšienē. |
Parastam HTTP klausītājam, kas atļauj CONNECT, šāda konfigurācija ir saskanīga:
curl --proxy http://127.0.0.1:8080 https://example.com/Vietnes TLS rokasspiediens notiek pēc tam, kad starpniekserveris pieņem tuneli. Ja starpniekservera URL nomaināt uz https://, bet klausītājs saprot tikai nešifrētu HTTP, TLS sarunas ar starpniekserveri var neizdoties vēl pirms sazināšanās ar vietni.
Ko papildus dod TLS līdz starpniekserverim
Starpniekserveris ar TLS aizsargā savienojumu starp klientu un starpniekserveri, tostarp CONNECT apmaiņu un autentifikāciju starpniekserverī, no pasīvas noklausīšanās šajā ceļa posmā. Starpniekservera operators joprojām apstrādā savienojumu un zina tuneļa galamērķi. Šis režīms jāatbalsta gan klientam, gan klausītājam:
curl --proxy https://proxy.example:8443 https://example.com/Izmantojiet pakalpojuma īsto resursdatora nosaukumu. Sertifikātam tam jāatbilst un jābūt uzticamam. Galamērķu un portu ierobežojumi joprojām ir spēkā.
Ja HTTPS izmanto abās pusēs, notiek divas sertifikātu pārbaudes. curl ļauj tās konfigurēt atsevišķi:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert nosaka uzticamību starpniekserverim, bet --cacert — galamērķim. Ja vajadzīgs, izmantojiet administratora nodrošinātos sertifikātu komplektus; sistēmas uzticamības iestatījumi jau var būt pietiekami. Pirms kāda iestatījuma maiņas noskaidrojiet, kurš rokasspiediens neizdevās.
Apzīmējums “HTTPS” starpniekserveru sarakstā var nozīmēt tikai to, ka galapunkts izturēja CONNECT testu. Ja saraksts neapraksta savu testu, apzīmējums pats par sevi neatklāj, vai klausītājs gaida http:// vai https://.