Een open TCP-poort bewijst niet dat een proxy werkt
Een geslaagde poortcontrole brengt alleen een verbinding tot stand. Controleer ook de proxyhandshake en de verwachte reactie van de bestemming.
Een open TCP-poort toont dat een listener een verbinding heeft aangenomen. Het kan een proxy, een gewone webserver of een andere dienst zijn; poort 8080 identificeert het protocol niet.
Gebruik voor een eindpunt dat als HTTP-proxy is gedocumenteerd het echte adres in een HTTPS-verzoek met tijdslimieten:
curl --proxy http://203.0.113.10:8080 --noproxy '' --connect-timeout 5 --max-time 15 --verbose https://example.com/Vervang het documentatieadres door je HTTP-eindpunt of een kandidaat uit de HTTP-proxylijst. Gebruik voor SOCKS de bijbehorende SOCKS-clientmodus en voltooi die onderhandeling. Een verkeerde handshake kan meteen na TCP-acceptatie mislukken.
| Waargenomen fase | Wat dit aantoont |
|---|---|
| TCP geaccepteerd | De listener is bereikbaar. |
| Proxyhandshake geaccepteerd | De listener heeft deze proxybewerking geaccepteerd. |
| TLS van bestemming geverifieerd | De client heeft de beoogde veilige verbinding volgens zijn vertrouwensinstellingen voltooid. |
| Verwachte status en inhoud ontvangen | Het applicatieverzoek leverde het verwachte resultaat op. |
Voor HTTPS via een HTTP-proxy moet CONNECT naar de doelpoort zijn toegestaan. Zelfs CONNECT 200 is een tussenstap: de tunnel kan sluiten voordat TLS of het laatste verzoek slaagt. Een succes met onversleuteld HTTP toont die tunnelmogelijkheid niet aan.
Gebruik een bestemming met voorspelbare inhoud, liefst onder eigen beheer, en bekijk zo mogelijk het verzoeklog. Een onversleutelde HTTP-listener kan een vaste pagina met status 200 teruggeven zonder het doel te benaderen. Een willekeurige successtatus is zwakker bewijs dan een antwoord dat met de verwachting overeenkomt; HTTPS-identiteitscontrole biedt extra bescherming.
Noteer de laatste geslaagde fase. ‘Poort open, SOCKS-onderhandeling geweigerd’ geeft een nuttig vertrekpunt voor het vervolgonderzoek.