HTTP-proxy eller HTTPS-proxy: vad betyder märkningen?
Skillnaden mellan en HTTP-proxy som tunnlar till HTTPS-webbplatser och en HTTPS-proxy som krypterar anslutningen till själva proxyn.
Använd det schema som dokumentationen anger för proxyns lyssnare. När du väljer kandidater ur listan med HTTP-proxyer, kontrollera lyssnarens schema innan du ställer in klienten. En HTTPS-webbplats kan nås via http://proxy.example:8080; att ändra värdet till https:// begär en annan sorts anslutning till proxyn.
| Proxyns URL | Webbplatsens URL | Anslutning |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | Okrypterad HTTP till proxyn och destinationen. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT till proxyn, sedan TLS till destinationen genom tunneln. |
https://proxy.example:8443 | https://example.com/ | TLS till proxyn, med tunneln till destinationen inuti den anslutningen. |
För en vanlig HTTP-lyssnare som tillåter CONNECT är det här en konsekvent konfiguration:
curl --proxy http://127.0.0.1:8080 https://example.com/Webbplatsens TLS-handskakning sker efter att proxyn har accepterat tunneln. Om du ändrar proxyns URL till https:// men lyssnaren bara förstår okrypterad HTTP, kan TLS-förhandlingen med proxyn misslyckas innan webbplatsen kontaktas.
Vad TLS till proxyn tillför
En proxy med TLS skyddar länken mellan klienten och proxyn, inklusive CONNECT-utbytet och proxyautentiseringen, mot passiv avlyssning på den sträckan. Proxyoperatören hanterar fortfarande anslutningen och känner till tunnelns destination. Både klienten och lyssnaren måste stödja det här läget:
curl --proxy https://proxy.example:8443 https://example.com/Använd tjänstens riktiga värdnamn. Certifikatet måste stämma överens med namnet och vara betrott. Begränsningar för destinationer och portar gäller fortfarande.
Med HTTPS på båda sidor görs två certifikatkontroller. I curl kan du konfigurera dem var för sig:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert anger tilliten till proxyn; --cacert anger tilliten till destinationen. Använd vid behov certifikatpaket från administratören; systemets tillitsinställningar kan redan räcka. Ta reda på vilken handskakning som misslyckades innan du ändrar någon av dem.
Märkningen ”HTTPS” i en proxylista kan enbart betyda att ändpunkten har klarat ett CONNECT-test. Om listan inte beskriver testet talar märkningen i sig inte om huruvida lyssnaren förväntar sig http:// eller https://.