Mae proxy HTTPS yn golygu dwy gysylltiad TLS, nid un
Mae'r naid proxy a'r wefan yn berthnasoedd TLS ar wahân gyda choelbren ar wahân. Darllenwch pa bwynt terfyn a fethodd cyn newid unrhyw osodiad tystysgrif.
Dim ond y cludiant rhwng eich cleient a'r proxy y mae'r label proxy HTTPS yn ei ddisgrifio, a dim byd mwy. Nid yw'n dweud bod y wefan y tu ôl iddo wedi'i hamgryptio gan yr un cysylltiad, ac nid yw'n dweud y gall y proxy ddarllen y dudalen. Unwaith y byddwch yn gwahanu'r ddau gysylltiad, mae gwallau tystysgrif yn peidio â bod yn ddirgel ac mae'r gymhariaeth â VPN yn dod yn goncrit.
Dau bâr o bwyntiau terfyn, dwy wiryriad
Mewn modd tiwnel arferol mae dau berthynas TLS. Mae'r cyntaf yn mynd o'ch cleient i'r proxy ac yn dilysu'r proxy. Mae'r ail yn mynd o'ch cleient i'r wefan y tu mewn i'r tiwnel, ac yn dilysu'r wefan. Maent yn methu'n annibynnol ac yn cael eu ffurfweddu'n annibynnol.
Mae ganddynt benderfyniadau ymddiriedaeth ar wahân, cadwynau tystysgrif ar wahân a negeseuon methiant ar wahân. Gall proxy sy'n defnyddio CA sefydliadol a gwefan gyhoeddus sy'n defnyddio cadwyn gyhoeddus fod angen ffurfwedd dilysu wahanol yn gyfreithlon, ac nid camffurfweddiad yw hynny.
Triniwch hwy fel dau gysylltiad sy'n digwydd rhannu un soced, oherwydd dyna ydynt.
Beth mae CONNECT yn ei diwnelu mewn gwirionedd
Mae'r cleient yn anfon cais CONNECT gan enwi'r gwesteiwr a'r porth, ac mae'r proxy yn agor cysylltiad TCP i'r targed hwnnw. Ar ôl i'r proxy ateb, mae'r beitiau sy'n dilyn yn cael eu hailgyfeirio heb ddehongliad, a dyna pam mae ysgwyd llaw TLS y wefan yn teithio trwy'r proxy yn gyfan. Felly mae'r proxy yn dysgu enw'r gyrchfan a metadata'r cysylltiad, ac nid yw'n derbyn tudalennau wedi'u dadgryptio o'r trefniant hwnnw.
Y gwahaniaeth hwnnw yw holl ddadl diogelwch modd tiwnel, ac mae hefyd yn ei derfyn.
Mae proxy HTTP heb TLS ar y naid proxy yn dal i gludo gwefan HTTPS trwy CONNECT. Mae'r cyfnewid cleient-i-proxy yn glir tra nad yw'r cysylltiad â'r wefan, ac mae galw'r cyfan yn proxy HTTPS yn cuddio'r gwahaniaeth hwnnw.
Pa dystysgrif a fethodd
Pan fydd dilysu yn methu, darllenwch y pwynt terfyn a enwir yn y gwall cyn newid unrhyw osodiad ymddiriedaeth. Mae'r ddau fethiant yn edrych yn debyg mewn terfynell ac yn cyfeirio at welliannau hollol wahanol, felly'r cwestiwn cyntaf yw bob amser pa gysylltiad a wrthododd.
Mae curl yn gwahanu'r opsiynau am yr union reswm hwn. Mae ffeil CA y proxy yn ffurfweddu dilysu'r proxy, tra mae'r ffeil CA yn ffurfweddu dilysu'r gweinydd, ac mae ymddygiad y storfa ymddiriedaeth berthnasol hefyd yn dibynnu ar sut y cafodd curl ei adeiladu.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/Nid yw atal gwiriad yn atgyweiriad. Nid yw'n profi dim am y naill bwynt terfyn na'r llall.
Mae archwilio yn drefniant gwahanol
Nid yw archwilio TLS yn diwnelu. Mae canolwr archwilio yn terfynu'r berthynas ymddiriedaeth tuag at y wefan ac yn cyflwyno ei dystysgrif ei hun i'r cleient, felly mae'r cleient yn dilysu'r canolwr yn hytrach na'r safle. Gall hynny fod yn gyfreithlon o dan ddyluniad a gymeradwywyd, ac mae'n honiad sylweddol wahanol i ailgyfeirio beit wrth feit. Peidiwch â chymryd bod pob proxy yn archwilio, a pheidiwch â chymryd bod naid proxy wedi'i hamgryptio yn ei eithrio.
Mae CA sefydliadol yn eich storfa ymddiriedaeth yn awgrym o ba drefniant sydd gennych, nid yn brawf. Gofynnwch am y dyluniad yn hytrach na'i gasglu o gadwyn tystysgrif.
Mae'r ddau drefniant hyn yn rhoi atebion gwahanol i'r cwestiwn pwy all ddarllen y dudalen.
Cymharwch proxy a VPN ar yr un pedair llinell
Dim ond pan fydd y ddau osodiad yn cael eu disgrifio yr un ffordd y daw'r gymhariaeth yn ddefnyddiol.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Mae proxy a ffurfweddwyd ar gyfer un cais yn cwmpasu'r cais hwnnw. Nid yw'n anfon pob proses ar y ddyfais trwyddo, ac mae'r gorchymyn enghreifftiol yn union mor gul. Mae cwmpas VPN yn dibynnu ar ei lwybr a'i bolisi cymhwysiad, y mae hefyd yn rhaid eu harchwilio yn hytrach na'u tybio. Nid yw'r naill opsiwn na'r llall yn cwmpasu popeth dim ond oherwydd iddo gael ei osod.
Ysgrifennwch y pedair llinell ar gyfer pob opsiwn ac mae'r ddadl fel arfer yn datrys ei hun. Nid y gymhariaeth ddefnyddiol yw pa label sy'n swnio'n fwy amgryptiedig. Y cwestiwn yw pa segmentau sy'n cael eu hamddiffyn, pwy sy'n cael ei ddilysu ar eu pen, pa ganolwyr rydych yn ymddiried ynddynt, a pha draffig y mae'r polisi yn ei gynnwys mewn gwirionedd.