Verifiser HTTPS-proxyen i en lokal stunnel-bro

Gi appen et ukryptert HTTP-endepunkt på loopback mens stunnel validerer TLS til den egentlige proxyen.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

Bruk den ønskede eksterne proxyen og en betrodd CA-samling. verifyChain kontrollerer utstederkjeden; checkHost kontrollerer navnet. sni sender navnet, men verifiserer det ikke.

Rett HTTP-proxyklienten mot det lokale endepunktet:

curl --proxy http://127.0.0.1:3129 https://www.example.org/

Appen utfører fortsatt CONNECT og eventuell nødvendig proxyinnlogging. stunnel legger til TLS-strekningen, ikke HTTP-autentisering. Den eksterne lytteren må faktisk tilby HTTP-proxyfunksjon over TLS.

For HTTPS-nettsteder fortsetter destinasjonens TLS inne i denne ruten med sin egen normale verifisering. De to sertifikatene identifiserer forskjellige motparter.

Relaterte artikler