HTTP-proxy eller HTTPS-proxy: kva tyder merkinga?
Skilnaden mellom ein HTTP-proxy som lagar tunnelar til HTTPS-nettstader, og ein HTTPS-proxy som krypterer sambandet til sjølve proxyen.
Bruk skjemaet som er dokumentert for lyttepunktet til proxyen. Når du vel kandidatar frå lista over HTTP-proxyar, må du sjekke skjemaet før du set opp klienten. Ein HTTPS-nettstad kan bruke http://proxy.example:8080; endrar du verdien til https://, ber du om ein annan type samband til proxyen.
| URL til proxyen | URL til nettstaden | Samband |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Ukryptert HTTP til proxyen og målet. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT til proxyen, deretter TLS til målet gjennom tunnelen. |
https://proxy.example:8443 | https://example.com/ | TLS til proxyen, med tunnelen til målet inne i dette sambandet. |
For eit vanleg HTTP-lyttepunkt som tillèt CONNECT, heng denne konfigurasjonen saman:
curl --proxy http://127.0.0.1:8080 https://example.com/TLS-handtrykket med nettstaden skjer etter at proxyen har godteke tunnelen. Endrar du URL-en til proxyen til https://, medan lyttepunktet berre forstår ukryptert HTTP, kan TLS-forhandlinga med proxyen feile før nettstaden blir kontakta.
Kva TLS til proxyen tilfører
Ein proxy med TLS vernar sambandet mellom klienten og proxyen, medrekna CONNECT-utvekslinga og proxyautentiseringa, mot passiv avlytting på denne strekninga. Proxyoperatøren handsamar framleis sambandet og kjenner målet for tunnelen. Både klienten og lyttepunktet må støtte denne modusen:
curl --proxy https://proxy.example:8443 https://example.com/Bruk det faktiske vertsnamnet til tenesta. Sertifikatet må samsvare med namnet og vere tiltrudd. Avgrensingar for mål og portar gjeld framleis.
Med HTTPS på begge sider blir det gjort to sertifikatkontrollar. curl lèt deg setje dei opp kvar for seg:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert fastset tilliten til proxyen; --cacert fastset tilliten til målet. Bruk sertifikatpakkar frå administratoren ved behov; tillitsinnstillingane i systemet kan alt vere tilstrekkelege. Finn ut kva handtrykk som feila før du endrar nokon av dei.
Merkinga «HTTPS» i ei proxyliste kan berre tyde at endepunktet har bestått ein CONNECT-test. Med mindre lista forklarer testen, fortel ikkje merkinga åleine om lyttepunktet ventar http:// eller https://.