Tinyproxy ConnectPort: porta de destino versus porta de escuta
Diagnostique as restrições da porta de destino do CONNECT do Tinyproxy sem confundi-las com a porta de escuta.
ConnectPort verifica o destino solicitado dentro do CONNECT, não o ouvinte que aceita o cliente:
| Número de exemplo | Função |
|---|---|
| 8888 | O ouvinte de entrada do Tinyproxy. |
| 443 | Uma porta de destino HTTPS comum. |
| 80 num CONNECT rejeitado | O destino que o cliente realmente pediu para tunelar. |
A permissão explícita para o destino HTTPS comum é:
ConnectPort 443Mantenha a autenticação e as restrições de cliente. O manual do Tinyproxy define tanto uma lista de portas ausente quanto a configuração especial para desativar o CONNECT. Remover uma lista restritiva pode ampliar o acesso.
Se a porta solicitada o surpreender, leia sobre a autoridade CONNECT e a sequência anterior. O HTTP simples na porta 80 não exige CONNECT só porque há um proxy envolvido. Um cliente pode tunelar intencionalmente outro serviço ou usar um modo não pretendido; não presuma que todo CONNECT para a porta 80 veio de um redirecionamento de site.
Uma porta HTTPS adicional legítima precisa de sua própria permissão estreita. Abrir todos os destinos esconde se o cliente fez a solicitação pretendida. Mantenha o alvo real separado do ouvinte do proxy antes de mudar a política.