HTTP-proxy eller HTTPS-proxy: hva betyr betegnelsen?
Forskjellen mellom en HTTP-proxy som lager tunneler til HTTPS-nettsteder, og en HTTPS-proxy som krypterer forbindelsen til selve proxyen.
Bruk skjemaet som er dokumentert for proxyens lyttepunkt. Når du velger kandidater fra listen over HTTP-proxyer, må du kontrollere skjemaet før du konfigurerer klienten. Et HTTPS-nettsted kan bruke http://proxy.example:8080; endrer du verdien til https://, ber du om en annen type forbindelse til proxyen.
| Proxyens URL | Nettstedets URL | Forbindelse |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Ukryptert HTTP til proxyen og målet. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT til proxyen, deretter TLS til målet gjennom tunnelen. |
https://proxy.example:8443 | https://example.com/ | TLS til proxyen, med tunnelen til målet inne i denne forbindelsen. |
For et vanlig HTTP-lyttepunkt som tillater CONNECT, er denne konfigurasjonen konsekvent:
curl --proxy http://127.0.0.1:8080 https://example.com/TLS-håndtrykket med nettstedet skjer etter at proxyen har godtatt tunnelen. Hvis du endrer proxyens URL til https://, men lyttepunktet bare forstår ukryptert HTTP, kan TLS-forhandlingen med proxyen mislykkes før nettstedet kontaktes.
Hva TLS til proxyen tilfører
En proxy med TLS beskytter forbindelsen mellom klienten og proxyen, inkludert CONNECT-utvekslingen og proxyautentiseringen, mot passiv avlytting på denne strekningen. Proxyoperatøren håndterer fremdeles forbindelsen og kjenner tunnelens mål. Både klienten og lyttepunktet må støtte denne modusen:
curl --proxy https://proxy.example:8443 https://example.com/Bruk tjenestens faktiske vertsnavn. Sertifikatet må samsvare med navnet og være betrodd. Begrensninger for mål og porter gjelder fremdeles.
Med HTTPS på begge sider er det to sertifikatkontroller. curl lar deg konfigurere dem hver for seg:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert angir tilliten til proxyen; --cacert angir tilliten til målet. Bruk sertifikatpakker fra administratoren ved behov; systemets tillitsinnstillinger kan allerede være tilstrekkelige. Finn ut hvilket håndtrykk som mislyktes før du endrer noen av dem.
Betegnelsen «HTTPS» i en proxyliste kan bare bety at endepunktet har bestått en CONNECT-test. Med mindre listen beskriver testen, forteller ikke betegnelsen alene om lyttepunktet forventer http:// eller https://.