HTTP-proxy eller HTTPS-proxy: hva ligger i betegnelsen?
Se forskjellen på en HTTP-proxy som tunnelerer HTTPS-nettsteder, og en HTTPS-proxy som krypterer forbindelsen til proxyen selv.
Bruk skjemaet som dokumentasjonen oppgir for proxyens lyttepunkt. Når du finner kandidater i listen over HTTP-proxyer, kontrollerer du skjemaet før du setter opp klienten. Et HTTPS-nettsted kan bruke http://proxy.example:8080. Bytter du denne verdien til https://, ber du om en annen slags forbindelse til proxyen.
| Proxy-URL | Nettstedets URL | Forbindelse |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Ukryptert HTTP til både proxyen og målet. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT til proxyen, så TLS til målet gjennom tunnelen. |
https://proxy.example:8443 | https://example.com/ | TLS til proxyen; tunnelen til målet går inne i denne forbindelsen. |
For et ordinært HTTP-lyttepunkt som tillater CONNECT, passer denne konfigurasjonen:
curl --proxy http://127.0.0.1:8080 https://example.com/Nettstedets TLS-håndtrykk skjer etter at proxyen har akseptert tunnelen. Hvis du bytter proxyens URL til https:// når lyttepunktet bare forstår ukryptert HTTP, kan TLS-forhandlingen med proxyen feile før nettstedet blir kontaktet.
Hva du får med TLS til proxyen
En TLS-aktivert proxy beskytter forbindelsen fra klienten til proxyen, også CONNECT-utvekslingen og proxyautentiseringen, mot passiv avlytting langs denne strekningen. Operatøren av proxyen behandler fortsatt forbindelsen og vet hvor tunnelen går. Både klienten og lyttepunktet må støtte modusen:
curl --proxy https://proxy.example:8443 https://example.com/Bruk det reelle vertsnavnet til tjenesten. Sertifikatet må stemme med navnet og være betrodd. Begrensninger på mål og porter gjelder fortsatt.
Når begge sider bruker HTTPS, er det to sertifikatkontroller. Med curl kan de konfigureres separat:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert angir tilliten til proxyen, mens --cacert angir tilliten til målet. Bruk administratorens sertifikatpakker når det er nødvendig; systemets tillitsoppsett kan allerede være nok. Avklar hvilket håndtrykk som feilet før du endrer et av oppsettene.
«HTTPS» i en proxyliste kan ganske enkelt bety at endepunktet klarte en CONNECT-test. Uten en beskrivelse av testen sier betegnelsen alene ikke om lyttepunktet venter http:// eller https://.