Fullfør parsinga av CONNECT-hovuda før klientstraumen vert vidaresend

Ein proxyserver som vidaresender først etter førespurnadslinja, kan senda sin eigen Host-header til TLS-porten til målet.

Etter CONNECT-førespurnadslinja høyrer desse byta framleis til proxyen:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Vidaresending av Host eller User-Agent til port 443 gjev målet klartekst-hovud der det ventar TLS. Den feilen kan oppstå før noko val av chiffre har noko å seie.

  1. Les og parse fram til hovud-terminatoren med den tomme linja, innanfor ein oppsettfrist og ei grense for hovudstorleik.
  2. Bruk proxyautentisering og målpolitikk.
  3. Etabler den godkjende tilkoplinga til målet.
  4. Send det vellukka CONNECT-svaret og gå i tunnellmodus.

Ta vare på bufra byta etter grensa for den rette neste tilstanden. Ikkje kast dei, og handsam ikkje førespurnadshovuda til proxyen som den seinare førespurnaden til nettstaden.

Klienten har ei tilsvarande plikt på svarssida: fullfør lesing av det vellukka CONNECT-svaret før den tunna protokollen startar. Begge endar må semjast om grensa der straumen skiftar rolle.

Relaterte artiklar