ตรวจสอบตัวตนพร็อกซี HTTPS ผ่านบริดจ์ stunnel ภายในเครื่อง

ให้แอปใช้ปลายทาง HTTP แบบไม่เข้ารหัสบน loopback และให้ stunnel ตรวจสอบ TLS ไปยังพร็อกซีตัวจริง

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

ระบุพร็อกซีระยะไกลที่ต้องการและชุดใบรับรอง CA ที่เชื่อถือได้ โดย verifyChain ตรวจสอบสายโซ่ผู้ออกใบรับรอง ส่วน checkHost ตรวจสอบชื่อ และ sni ส่งชื่อไปแต่ไม่ได้ตรวจสอบชื่อนั้น

ตั้งค่าไคลเอนต์พร็อกซี HTTP ให้เชื่อมต่อกับปลายทางภายในเครื่อง:

curl --proxy http://127.0.0.1:3129 https://www.example.org/

แอปยังคงทำ CONNECT และเข้าสู่ระบบพร็อกซีตามที่จำเป็น stunnel เพิ่มส่วนการเชื่อมต่อ TLS ไม่ได้เพิ่มการยืนยันตัวตน HTTP ตัวรับการเชื่อมต่อระยะไกลต้องให้บริการพร็อกซี HTTP ผ่าน TLS จริง

สำหรับเว็บไซต์ HTTPS การเชื่อมต่อ TLS ไปยังเว็บไซต์ปลายทางยังคงอยู่ภายในเส้นทางนี้ พร้อมการตรวจสอบตามปกติของตัวเอง ใบรับรองสองใบระบุคู่สื่อสารคนละฝั่ง

บทความที่เกี่ยวข้อง