Proksi HTTP atau HTTPS: apakah maksud label itu?
Bezakan proksi HTTP yang membina terowong ke laman HTTPS dengan proksi HTTPS yang menyulitkan sambungan kepada proksi itu sendiri.
Gunakan skema yang dinyatakan dalam dokumentasi pendengar proksi. Apabila memilih calon daripada senarai proksi HTTP, sahkan skema pendengar sebelum mengkonfigurasi klien. Laman HTTPS boleh menggunakan http://proxy.example:8080; menukar nilai itu kepada https:// meminta jenis sambungan yang berbeza kepada proksi.
| URL proksi | URL laman | Sambungan |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | HTTP tanpa penyulitan kepada proksi dan destinasi. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT kepada proksi, kemudian TLS dengan destinasi melalui terowong. |
https://proxy.example:8443 | https://example.com/ | TLS kepada proksi, dengan terowong ke destinasi dibawa di dalam sambungan itu. |
Bagi pendengar HTTP biasa yang membenarkan CONNECT, konfigurasi ini adalah sepadan:
curl --proxy http://127.0.0.1:8080 https://example.com/Jabat tangan TLS dengan laman berlaku selepas proksi menerima terowong. Jika URL proksi ditukar kepada https:// tetapi pendengar hanya memahami HTTP tanpa penyulitan, rundingan TLS dengan proksi boleh gagal sebelum laman dihubungi.
Apakah tambahan yang diberikan oleh TLS kepada proksi?
Proksi yang menyokong TLS melindungi pautan antara klien dengan proksi, termasuk pertukaran CONNECT dan pengesahan proksi, daripada intipan pasif pada laluan itu. Pengendali proksi masih mengurus sambungan dan mengetahui destinasi terowong. Kedua-dua klien dan pendengar mesti menyokong mod ini:
curl --proxy https://proxy.example:8443 https://example.com/Gunakan nama hos sebenar perkhidmatan; sijilnya mesti sepadan dan dipercayai. Sekatan destinasi dan port masih terpakai.
Dengan HTTPS pada kedua-dua belah, terdapat dua semakan sijil. curl membolehkan kedua-duanya dikonfigurasi secara berasingan:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert menetapkan kepercayaan untuk proksi; --cacert menetapkannya untuk destinasi. Jika perlu, gunakan himpunan sijil yang diberikan oleh pentadbir; tetapan kepercayaan sistem mungkin sudah mencukupi. Kenal pasti jabat tangan yang gagal sebelum mengubah salah satu tetapan.
Label “HTTPS” dalam senarai proksi mungkin hanya bermaksud titik akhir itu lulus ujian CONNECT. Jika senarai tidak menerangkan ujiannya, label itu sahaja tidak memberitahu sama ada pendengar menjangkakan http:// atau https://.