Un proxy HTTPS significa dues connexions TLS, no una
El salt del proxy i el lloc web són relacions TLS separades amb confiances separades. Llegiu quin extrem ha fallat abans de canviar cap paràmetre de certificat.
L'etiqueta proxy HTTPS descriu només el transport entre el vostre client i el proxy, i res més. No diu que el lloc web que hi ha darrere estigui xifrat per aquella mateixa connexió, ni diu que el proxy pugui llegir la pàgina. Quan separeu les dues connexions, els errors de certificat deixen de ser misteriosos i la comparació amb una VPN es torna concreta.
Dos parells d'extrems, dues verificacions
En el mode túnel ordinari hi ha dues relacions TLS. La primera va del vostre client al proxy i autentica el proxy. La segona va del vostre client al lloc web dins del túnel i autentica el lloc web. Fallen de manera independent i es configuren de manera independent.
Tenen decisions de confiança separades, cadenes de certificats separades i missatges de fallada separats. Un proxy amb una CA organitzativa i un lloc web públic amb una cadena pública poden necessitar legítimament una configuració de verificació diferent, i això no és una mala configuració.
Tracteu-los com dues connexions que comparteixen un socket, perquè això és el que són.
Què tunelitza realment CONNECT
El client envia una sol·licitud CONNECT amb el nom de l'amfitrió i el port, i el proxy obre una connexió TCP cap a aquest destí. Després que el proxy respongui, els bytes següents es retransmeten sense interpretació, per això l'apretada de mans TLS del lloc web travessa el proxy intacta. Així el proxy coneix el nom de destinació i les metadades de la connexió, però no rep pàgines desxifrades d'aquest arranjament.
Aquesta distinció és tot l'argument de seguretat del mode túnel, i també n'és el límit.
Un proxy HTTP sense TLS al salt del proxy encara transporta un lloc HTTPS a través de CONNECT. L'intercanvi client-proxy va en clar mentre que la connexió del lloc web no, i anomenar tot això proxy HTTPS amaga aquesta diferència.
Quin certificat ha fallat
Quan la verificació falla, llegiu l'extrem que s'anomena a l'error abans de canviar cap paràmetre de confiança. Les dues fallades semblen iguals en un terminal i apunten a correccions completament diferents, per això la primera pregunta sempre és quina connexió ha refusat.
curl separa les opcions exactament per aquest motiu. El fitxer CA del proxy configura la verificació del proxy, mentre que el fitxer CA configura la verificació del servidor, i el comportament del magatzem de confiança aplicable també depèn de com s'ha compilat curl.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/Suprimir una comprovació no és una reparació. No demostra res sobre cap dels dos extrems.
La inspecció és un arranjament diferent
La inspecció TLS no és tunelització. Un intermediari inspector acaba la relació de confiança amb el lloc web i presenta el seu propi certificat al client, de manera que el client verifica l'intermediari i no el lloc. Això pot ser legítim sota un disseny aprovat, i és una afirmació materialment diferent de la retransmissió byte a byte. No suposeu que tots els proxys inspeccionen, ni suposeu que un salt de proxy xifrat ho descarta.
Una CA organitzativa al vostre magatzem de confiança és una pista sobre quin arranjament teniu, no una prova. Demaneu el disseny en lloc d'inferir-lo d'una cadena de certificats.
Aquests dos arranjaments donen respostes diferents a la pregunta de qui pot llegir la pàgina.
Compareu proxy i VPN en les mateixes quatre línies
La comparació només és útil quan tots dos desplegaments es descriuen de la mateixa manera.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Un proxy configurat per a una sol·licitud cobreix aquella sol·licitud. No fa passar cada procés del dispositiu a través seu, i la comanda d'exemple és exactament així d'estreta. La cobertura d'una VPN depèn del seu encaminament i de la seva política d'aplicacions, que també cal inspeccionar en lloc de suposar. Cap de les dues opcions ho cobreix tot només perquè s'hagi instal·lat.
Escriviu les quatre línies per a cada opció i l'argument normalment es resol sol. La comparació útil no és quina etiqueta sona més xifrada. És quins segments estan protegits, qui es verifica als seus extrems, en quins intermediaris confieu i quin trànsit inclou realment la política.