HTTP CONNECT: Paano Hinahawakan ng HTTP Proxy ang HTTPS

Sundan ang HTTPS request sa HTTP proxy, ihiwalay ang CONNECT response sa sagot ng origin server, at tukuyin kung saan pumapalya ang tunnel.

Ang “200 Connection Established” ay pagtanggap ng proxy sa isang tunnel. Wala pang ibinabalik na page ang website. Kasunod ang TLS sa destinasyon, at pagkatapos ang mismong HTTPS request.

Mula sa koneksiyon sa proxy hanggang sa sagot ng website

  1. Kumokonekta ang client sa endpoint ng proxy.
  2. Hinihiling nito sa proxy na kumonekta sa destination host at port.
  3. Tinatanggap o tinatanggihan ng proxy ang kahilingang iyon.
  4. Kapag tinanggap, nakikipagnegosasyon ang client ng TLS sa destinasyon sa pamamagitan ng tunnel.
  5. Ipinapadala ng client ang HTTPS request at tinatanggap ang sagot ng website sa loob ng TLS.

Magkakaibang bahagi ng sunod-sunod na hakbang na ito ang kinalalagyan ng tinanggihang proxy connection, tinanggihang tunnel, at certificate error. Hanapin ang huling nakumpletong hakbang bago baguhin ang settings.

Ang palitan ng CONNECT

Sa HTTP/1.1, ganito ang pinasimpleng palitan:

CONNECT example.com:443 HTTP/1.1
Host: example.com:443

HTTP/1.1 200 Connection Established

Host at port ang target ng request, nang wala ang path o query ng website. Pagkatapos ng matagumpay na CONNECT response, mga byte ng tunnel ang dinadala ng koneksiyon. Para sa HTTPS na destinasyon, ang susunod na palitan ng client ay ang TLS handshake.

Basahin ang numerong status sa halip na itugma ang eksaktong English reason phrase. Maaaring gumamit ang mga proxy ng magkaibang teksto para sa parehong status.

Panoorin gamit ang curl

Para sa HTTP proxy sa lokal na port 8080:

curl --noproxy '' --proxy http://127.0.0.1:8080 --connect-timeout 5 --max-time 15 --verbose https://example.com/

Palitan ang listener address ng endpoint mo; kung kailangan ng mga kandidato, tingnan ang listahan ng mga HTTP proxy at subukan ang napiling entry. Tinitiyak ng walang-lamang bypass list na proxy ang pipiliin ng invocation na ito. Hanapin ayon sa pagkakasunod sa oras ang proxy connection, CONNECT response, pag-verify sa certificate ng destinasyon, at sagot ng website. Nakadepende sa build ng curl ang eksaktong pananalita ng log.

Maaaring magbalik ang destinasyon ng 404, 429, o 500 matapos tanggapin ng proxy ang tunnel. Maaari rin itong pumalya habang nasa TLS bago magbalik ng anumang HTTP response.

Saan ito huminto?

ObserbasyonSusunod na susuriin
Tinatanggihan ang koneksiyon sa proxyProxy address, listening port, proseso, at access sa network.
Nagbabalik ang proxy ng 407Ang proxy account at authentication scheme.
Tinatanggihan ng proxy ang destinasyon o portPatakaran sa access at mga pinahihintulutang CONNECT destination.
Bumubukas ang tunnel, saka pumapalya ang TLS verificationPangalan ng destinasyon, trust store, orasan, at anumang pinamamahalaang TLS interception.
Nagtatagumpay ang TLS at nagbabalik ng error ang websiteAng sagot ng website.

Sa paghahambing, panatilihing pareho ang isang panig: subukan ang ibang destinasyon sa parehong proxy, o ihambing ang parehong destinasyon sa pinahihintulutang direktang ruta.

May operator pa rin ang tunnel

Alam ng proxy ang CONNECT destination at pinangangasiwaan nito ang tiyempo at dami ng trapiko. Pinoprotektahan ng karaniwang end-to-end TLS ang application content ng website mula sa proxy na hindi nagtatapos ng TLS session na iyon. Iba ang ugnayan ng pagtitiwala sa pinamamahalaang interception proxy na pinagkakatiwalaan ng client.

Kaugnay na mga artikulo