En HTTPS-Proxy bedeit zwou TLS-Verbindungen, net eng
De Proxy-Hop an d'Websäit sinn getrennt TLS-Beziéungen mat getrenntem Vertrauen. Liest wéi en Endpunkt versot huet, ier Dir eng Zertifikatsastellung ännert.
Den Etikett HTTPS-Proxy beschreift nëmmen den Transport tëschent Ärem Client an dem Proxy, a soss näischt. Et seet net, datt d'Websäit dohannert duerch déiselwecht Verbindung verschlësselt ass, an et seet net, datt de Proxy d'Säit liese kann. Soubal Dir déi zwou Verbindungen trennt, hale Certifikatsfeeler op mysteriéis ze sinn an de Verglach mat enger VPN gëtt konkret.
Zwou Endpunktpueren, zwou Iwwerpréiwungen
Am gewéinlechen Tunnelmodus ginn et zwou TLS-Beziéungen. Déi éischt leeft vun Ärem Client zum Proxy an authentifizéiert de Proxy. Déi zweet leeft vun Ärem Client zu der Websäit bannent dem Tunnel an authentifizéiert d'Websäit. Si versoen onofhängeg a si ginn onofhängeg konfiguréiert.
Si hu getrennt Vertrauensentscheedungen, getrennt Zertifikatsketten a getrennt Fehlermeldungen. E Proxy mat enger organisatorescher CA an eng ëffentlech Websäit mat enger ëffentlecher Kette kënnen zu Recht eng aner Iwwerpréiwungskonfiguratioun brauchen, an dat ass keng falsch Konfiguratioun.
Behandelt si wéi zwou Verbindungen, déi zoufälleg ee Socket deelen, well dat si si.
Wat CONNECT tatsächlech tunnelt
De Client schéckt eng CONNECT-Ufro mat Host a Port, an de Proxy mécht eng TCP-Verbindung zu deem Zil op. Nodeem de Proxy geäntwert huet, ginn déi nächst Byte ouni Interpretatioun weiderginn, dofir geet den TLS-Handshake vun der Websäit onberéiert duerch de Proxy. Sou léiert de Proxy den Zilnumm an d'Metadaten vun der Verbindung, an hie kritt keng entschlësselt Säiten aus deem Arrangement.
Dee percipiéierten Ënnerscheed ass d'ganz Sécherheetsargument fir den Tunnelmodus, an et ass och seng Grenz.
En HTTP-Proxy ouni TLS um Proxy-Hop dréit nach ëmmer eng HTTPS-Websäit duerch CONNECT. Den Austausch tëschent Client a Proxy ass kloer, d'Verbindung zur Websäit awer net, an dat Ganzt en HTTPS-Proxy ze nennen verstoppt deen Ënnerscheed.
Wéi en Zertifikat versot huet
Wann d'Iwwerpréiwung versot, liest den Endpunkt, deen am Feeler genannt gëtt, ier Dir eng Vertrauensastellung ännert. Déi zwou Feeler gesinn am Terminal ähnlech aus a weisen op komplett verschidde Korrekturen, dofir ass déi éischt Fro ëmmer, wéi eng Verbindung refuséiert huet.
curl trennt d'Optiounen genau aus dësem Grond. D'CA-Datei vum Proxy konfiguréiert d'Iwwerpréiwung vum Proxy, wärend d'CA-Datei d'Iwwerpréiwung vum Server konfiguréiert, an d'Verhalen vum applicabelen Vertrauensspäicher hänkt och dovun of, wéi curl gebaut gouf.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/En Test z'ënnerdrécken ass keng Reparatur. Et beweist näischt iwwer ee vun den zwee Endpunkten.
D'Inspektioun ass en anert Arrangement
TLS-Inspektioun ass keen Tunneling. En inspizéierende Vermëttler beendet d'Vertrauensbezéiung zur Websäit an presenteert dem Client säin eegent Zertifikat, also iwwerpréift de Client de Vermëttler an net d'Säit. Dat kann ënner engem genehmegten Design legitim sinn, an et ass eng wesentlech aner Behauptung wéi eng Byte-fir-Byte-Weidergab. Gitt net dovun aus, datt all Proxy inspizéiert, a gitt net dovun aus, datt en verschlësselten Proxy-Hop dat ausschléisst.
Eng organisatoresch CA an Ärem Vertrauensspäicher ass en Hiweis drop, a wéi engem Arrangement Dir sidd, keen Beweis. Frot no dem Design, amplaz et aus enger Zertifikatskette ofzeleeden.
Déi zwee Arrangements ginn ënnerschiddlech Äntwerten op d'Fro, wien d'Säit liese kann.
Vergläicht Proxy a VPN op deene selwechte véier Zeilen
De Verglach gëtt eréischt nëtzlech, wann béid Asätz op déiselwecht Manéier beschriwwe ginn.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
E Proxy, dee fir eng Ufro konfiguréiert ass, deckt déi Ufro of. Hie leet net all Prozess vum Apparat duerch sech, an den Beispillbefehl ass genee esou schmuel. D'Ofdeckung vun enger VPN hänkt vun hirem Routing an hirer Applikatiounspolitik of, déi een och inspizéiere muss amplaz se unzehuelen. Keng vun deenen zwou Optiounen deckt alles of, just well se installéiert gouf.
Schreift déi véier Zeilen fir all Optioun an d'Argument léist sech meeschtens selwer. De nëtzleche Verglach ass net, wéi en Etikett méi verschlësselt kléngt. Et ass, wéi eng Segmenter geschützt sinn, wien op hirem Enn iwwerpréift gëtt, wéi engem Vermëttler Dir vertraut, a wéi en Traffic d'Politik tatsächlech ëmfaasst.