HTTP CONNECT: Slik håndterer en HTTP-proxy HTTPS

Følg en HTTPS-forespørsel gjennom en HTTP-proxy, skill CONNECT-svaret fra svaret fra opprinnelsesserveren, og finn ut hvor tunnelen feiler.

«200 Connection Established» betyr at proxyen godtar en tunnel. Nettstedet har ikke returnert noen side ennå. Deretter kommer TLS med målet, etterfulgt av selve HTTPS-forespørselen.

Fra proxyforbindelse til nettstedets svar

  1. Klienten kobler seg til proxyens endepunkt.
  2. Den ber proxyen koble seg til en målvert og port.
  3. Proxyen godtar eller avviser forespørselen.
  4. Etter at den er godtatt, forhandler klienten TLS med målet gjennom tunnelen.
  5. Klienten sender HTTPS-forespørselen og mottar nettstedets svar inne i TLS.

En avvist forbindelse til proxyen, en avvist tunnel og en sertifikatfeil oppstår på ulike steder i denne rekkefølgen. Finn det siste fullførte trinnet før du endrer innstillinger.

CONNECT-utvekslingen

I HTTP/1.1 ser en forenklet utveksling slik ut:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection Established

Målet for forespørselen er en vert og port, uten nettstedets sti eller spørringsparametere. Etter et vellykket CONNECT-svar frakter forbindelsen tunnelbytes. For et HTTPS-mål er klientens neste utveksling TLS-håndtrykket.

Les den numeriske statusen fremfor å se etter en bestemt engelsk begrunnelse. Proxyer kan bruke ulik tekst for samme status.

Følg med gjennom curl

For en HTTP-proxy på lokal port 8080:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Bytt ut lytteadressen med ditt endepunkt. Trenger du kandidater, kan du bla i listen over HTTP-proxyer og teste den valgte oppføringen. Den tomme unntakslisten sikrer at dette kallet velger proxyen. Se i kronologisk rekkefølge etter proxyforbindelsen, CONNECT-svaret, kontrollen av målsertifikatet og nettstedets svar. Den nøyaktige loggteksten avhenger av curl-bygget.

Målet kan returnere 404, 429 eller 500 etter at proxyen har godtatt tunnelen. Det kan også feile under TLS før noe HTTP-svar returneres.

Hvor stoppet det?

ObservasjonHva du undersøker videre
Forbindelsen til proxyen avvisesProxyadresse, lytteport, prosess og nettverkstilgang.
Proxyen returnerer 407Proxykontoen og autentiseringsmetoden.
Proxyen avviser et mål eller en portTilgangsregler og tillatte CONNECT-mål.
Tunnelen åpnes, men TLS-kontrollen feiler etterpåMålnavn, tillitslager, klokke og eventuell administrert TLS-avskjæring.
TLS lykkes og nettstedet returnerer en feilNettstedets svar.

Hold én side uendret når du sammenligner: prøv et annet mål gjennom samme proxy, eller sammenlign samme mål over en tillatt direkte rute.

Tunnelen har fortsatt en operatør

Proxyen kjenner CONNECT-målet og håndterer trafikkens timing og volum. Vanlig ende-til-ende-TLS beskytter nettstedets applikasjonsinnhold mot en proxy som ikke terminerer denne TLS-økten. En administrert avskjæringsproxy som klienten stoler på, har en annen tillitsordning.

Relaterte artikler