Tinyproxy ConnectPort: port docelowy a port nasłuchu
Diagnozuj ograniczenia portu docelowego CONNECT w Tinyproxy, nie myląc ich z portem nasłuchu.
ConnectPort sprawdza cel żądany wewnątrz CONNECT, a nie odbiorcę przyjmującego klienta:
| Numer przykładu | Rola |
|---|---|
| 8888 | Przychodzący odbiorca Tinyproxy. |
| 443 | Typowy docelowy port HTTPS. |
| 80 w odrzuconym CONNECT | Cel, o który klient faktycznie poprosił, by go tunelować. |
Wyraźne zezwolenie dla typowego celu HTTPS to:
ConnectPort 443Zachowaj uwierzytelnianie i ograniczenia klienta. Podręcznik Tinyproxy definiuje zarówno brakującą listę portów, jak i specjalne ustawienie wyłączające CONNECT. Usunięcie restrykcyjnej listy może rozszerzyć dostęp.
Jeśli żądany port cię zaskoczy, przeczytaj o uprawnieniu CONNECT i poprzedzającej sekwencji. Zwykły HTTP na porcie 80 nie wymaga CONNECT tylko dlatego, że uczestniczy proxy. Klient może celowo tunelować inną usługę lub użyć nieoczekiwanego trybu; nie zakładaj, że każde CONNECT na port 80 pochodzi z przekierowania witryny.
Legalny dodatkowy port HTTPS wymaga własnego wąskiego zezwolenia. Otwarcie wszystkich celów ukrywa, czy klient wykonał zamierzone żądanie. Przed zmianą polityki trzymaj rzeczywisty cel oddzielnie od odbiorcy proxy.