A autenticación de proxy do navegador sen cabeza non é unha ruta VPN

Unha VPN pode levar o tráfico dun navegador a un servidor proxy e aínda así deixar que o navegador non poida usar ese proxy, porque unha ruta e unha credencial son cousas diferentes. A automatización sen cabeza fai que a brecha sexa máis difícil de ver, xa que non hai xanela nin aviso para notar. O fallo adoita aparecer como un bloqueo ou un erro xenérico de navegación, e o primeiro instinto é culpar ao túnel. A seguinte lista de verificación separa as catro cousas que deben ser certas para que unha solicitude sen cabeza a través dun proxy autenticado poida ter éxito.

Dúas conversas, dúas credenciais

Sucédense dúas conversacións, e pertencen a partes diferentes. O navegador conéctase primeiro ao oínte proxy, que pode desafialo polas credenciais; o proxy entón fai ou permite a conexión posterior co destino. Unha VPN pode levar o primeiro tramo sen ser o punto final que desafía ao navegador e non ten nada que dicir sobre o segundo.

HTTP 407 é o sinal que o cliente debe autenticar para a solicitude de proxy, transportada en Proxy-Authenticate coa resposta esperada en Proxy-Authorization. Ese non é o inicio de sesión do sitio web de destino, e mesturar os dous é a fonte máis común de confusión aquí.

Polo tanto, as catro comprobacións son: que proxy seleccionou realmente o navegador, quen responde ao 407, en que rede está o proceso do navegador e como se entrega a credencial sen un humano. Cada un pode fallar de forma independente, e cada fallo parece similar desde fóra. Traballaos en orde, porque unha comprobación posterior non pode compensar unha anterior. Non se pode autenticar un proxy que nunca se seleccionou e unha credencial que só existe no teu portátil non pode chegar a un contedor.

Comprobe 1: que proxy está realmente seleccionado

Comeza coa selección, porque un navegador que ignora a túa configuración de proxy nunca chega ao desafío. En Chrome a bandeira é --proxy-server=proxy.example:3128 , con --proxy-bypass-list para as exclusións, e Selenium expón o mesmo a través das opcións do seu navegador. Un ficheiro PAC é un mecanismo diferente cos seus propios modos de falla.

A continuación, confirme dende o contorno do navegador en execución en lugar de desde o seu shell. Unha sonda independente co mesmo proxy é curl -x http://proxy.example:3128 -v https://example.com , e a súa saída detallada mostra se o CONNECT se realizou correctamente, o que Proxy-Authenticate volveu e se se devolveu un 407. Se curl obtén un 407 e o navegador se bloquea, o problema é o camiño da credencial e non a rede. Se curl ten éxito e o navegador non, o navegador non está a usar o proxy que pensas que é.

Comprobe 2: quen responde ao 407

Un 407 ten un propietario e nomealo decide onde vai a corrección. Se o desafío provén do proxy corporativo, a corrección é unha credencial que o navegador pode presentar sen supervisión. Se procede dun proxy ascendente ao que o primeiro reenvía, a credencial pertence a ese segundo salto e o primeiro proxy pode estar transmitindo o desafío sen cambios. Le o ámbito de autenticación e o host na cabeceira Proxy-Authenticate, porque dan un nome á caixa que está a preguntar.

Mantén esa distinción no que rexistres. Un desafío de proxy, unha conexión posterior rexeitada, un inicio de sesión no sitio web e un tempo de espera de transporte VPN son catro erros diferentes con catro propietarios diferentes e unha mensaxe de erro xenérica destrúe a información que necesitas.

Comprobe 3: a ruta da credencial

A propia credencial é onde se rompen a maioría das configuracións desatendidas. Selenium pode establecer un host e un porto de proxy, pero a autenticación de proxy HTTP non é unha parte portátil desa configuración e as credenciais no URL do proxy non son un mecanismo no que poida confiar en todos os navegadores e versións de controladores. As opcións admitidas son as que ten os documentos da pila reais: unha extensión de navegador que responde ao desafío, un proxy de reenvío local que engade a cabeceira e só se pode acceder desde o traballo ou un proxy que autentica a carga de traballo por outros medios. Escolla un deliberadamente e comprobeo coas versións exactas do navegador, do controlador e de Selenium que executará.

Mantén a credencial fóra dos lugares que a filtran. As liñas de comandos son visibles nas listas de procesos, as capturas de pantalla acaban nos informes de proba, os rastros do navegador e os encabezados de captura de ficheiros HAR e a configuración das probas comprometidas é para sempre. Use o mecanismo de entrega secreta do traballo e as súas regras de redacción e amplíe a conta proxy aos destinos ou función que necesite.

Se a organización ofrece unha ruta VPN directa permitida en lugar dun proxy obrigatorio, compare os dous deseños de forma explícita. Non desactives silenciosamente o proxy nin imites a autenticación doutro cliente para evitar a política.

Comprobe 4: o propio contexto de rede do proceso do navegador

Este é o cheque que a xente omite. Un navegador iniciado por un traballador, un contedor ou un nodo remoto de Selenium Grid usa a rede dese ambiente, polo que a conexión VPN do teu portátil e as variables de proxy do teu shell describen un camiño que o navegador pode nunca tocar.

Rexistra cinco feitos para o traballo que falla: o servidor do navegador, o proxy configurado, a ruta de resolución inicial, a ruta seleccionada e o propietario da autenticación. A continuación, realice unha solicitude autorizada inofensiva desde ese contexto exacto, deixando activada a verificación TLS de destino normal e a autorización da aplicación. Un navegador sen cabeza que se inicia con éxito non demostra nin a admisión de proxy nin a cobertura de VPN, e unha captura de pantalla dunha páxina en branco non proba nada. A solicitude que devolve 200 a través de toda a cadea é a única evidencia que conta.

O fluxo de traballo rematado ten tres propiedades que paga a pena comprobar como conxunto. Hai unha ruta compatible desde o servidor do navegador ata o proxy, unha política intermediaria explícita que nomea o proxy e os destinos e un ciclo de vida das credenciais que non depende de que un operador responda a unha solicitude invisible. Se algún dos tres depende dunha persoa, o traballo aínda non está desatendido, sexa o que diga o código de saída. Escribe os cinco feitos antes de que a seguinte persoa herde a canalización.