Slutför tolkningen av CONNECT-huvuden innan klientströmmen vidarebefordras

En proxyserver som vidarebefordrar först efter begäranderaden kan skicka sitt eget Host-huvud till målets TLS-port.

Efter CONNECT-begäranderaden tillhör dessa byte fortfarande proxyn:

CONNECT service.example:443 HTTP/1.1\r\n
Host: service.example:443\r\n
User-Agent: example-client\r\n
\r\n

Vidarebefordran av Host eller User-Agent till port 443 ger målet klartext-huvuden där det väntar sig TLS. Det felet kan inträffa innan något val av chiffer har betydelse.

  1. Läs och tolka fram till huvudterminatorn med den tomma raden, inom en tidsgräns för uppsättning och en gräns för huvudstorlek.
  2. Tillämpa proxyautentisering och målprincip.
  3. Upprätta den godkända målanslutningen.
  4. Skicka det lyckade CONNECT-svaret och gå in i tunnelläge.

Bevara buffrade byte efter gränsen för rätt nästa tillstånd. Kasta inte bort dem och behandla inte proxyns begärandehuvuden som webbplatsens senare begäran.

Klienten har en motsvarande skyldighet på svarsidan: slutför läsningen av det lyckade CONNECT-svaret innan det tunnlade protokollet börjar. Båda ändarna måste enas om gränsen där strömmen byter roll.

Relaterade artiklar