Proxy HTTP hay HTTPS: nhãn này có ý nghĩa gì?
Phân biệt proxy HTTP tạo đường hầm tới trang HTTPS với proxy HTTPS mã hóa kết nối tới chính proxy.
Dùng lược đồ được ghi trong tài liệu của bộ lắng nghe proxy. Khi chọn ứng viên từ danh sách proxy HTTP, hãy xác nhận lược đồ trước khi cấu hình máy khách. Một trang HTTPS có thể dùng http://proxy.example:8080; đổi giá trị đó thành https:// là yêu cầu một kiểu kết nối khác tới proxy.
| URL của proxy | URL của trang | Kết nối |
|---|---|---|
http://proxy.example:8080 | http://example.com/ | HTTP không mã hóa tới proxy và đích. |
http://proxy.example:8080 | https://example.com/ | HTTP CONNECT tới proxy, sau đó TLS tới đích qua đường hầm. |
https://proxy.example:8443 | https://example.com/ | TLS tới proxy, với đường hầm tới đích nằm bên trong kết nối đó. |
Với bộ lắng nghe HTTP thông thường cho phép CONNECT, cấu hình này là nhất quán:
curl --proxy http://127.0.0.1:8080 https://example.com/Quá trình bắt tay TLS với trang diễn ra sau khi proxy chấp nhận đường hầm. Nếu đổi URL proxy thành https:// trong khi bộ lắng nghe chỉ hiểu HTTP không mã hóa, việc thương lượng TLS với proxy có thể thất bại trước khi liên hệ với trang.
TLS tới proxy bổ sung điều gì?
Proxy hỗ trợ TLS bảo vệ đoạn kết nối giữa máy khách và proxy, bao gồm trao đổi CONNECT và xác thực proxy, trước việc nghe lén thụ động trên đoạn đường đó. Bên vận hành proxy vẫn xử lý kết nối và biết đích của đường hầm. Cả máy khách lẫn bộ lắng nghe đều phải hỗ trợ chế độ này:
curl --proxy https://proxy.example:8443 https://example.com/Dùng tên máy chủ thực của dịch vụ; chứng chỉ phải khớp với tên đó và được tin cậy. Các hạn chế về đích và cổng vẫn có hiệu lực.
Khi cả hai phía đều dùng HTTPS, có hai lần kiểm tra chứng chỉ. curl cho phép cấu hình chúng riêng biệt:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert origin-ca.pem https://example.com/--proxy-cacert thiết lập độ tin cậy cho proxy; --cacert thiết lập độ tin cậy cho đích. Khi cần, hãy dùng các gói chứng chỉ do quản trị viên cung cấp; cấu hình tin cậy của hệ thống có thể đã đủ. Xác định quá trình bắt tay nào thất bại trước khi thay đổi một trong hai.
Nhãn “HTTPS” trong một danh sách proxy có thể chỉ có nghĩa là điểm cuối đã vượt qua phép thử CONNECT. Nếu danh sách không giải thích cách thử, chỉ riêng nhãn đó không cho biết bộ lắng nghe yêu cầu http:// hay https://.