HTTPS پروکسي معنا دوه TLS اړیکې دي، نه یوه
د پروکسي پټه او وېبپاڼه جلا TLS اړیکې دي، جلا باور سره. له کومې پاینې غاړې ناکامه شوه هغه ولولئ، مخکې له دې چې کوم د سند تنظیم بدل کړئ.
د HTTPS پروکسي نښه یوازې ستاسو د پیرودونکي او پروکسي ترمنځ لېږد بیانوي، او نور هېڅ نه. دا نه وایي چې تر شا وېبپاڼه په همدې اړیکه کوډ شوې ده، او نه وایي چې پروکسي کولی شي پاڼه ولولي. کله چې دواړه اړیکې جلا کړئ، د سند تېروتنې اسراره کېدل بندوي او د VPN سره پرتله رښتینې کېږي.
دوه پاینې جوړې، دوه کتنې
په عادي تونل حالت کې دوه TLS اړیکې شته. لومړۍ ستاسو له پیرودونکي پروکسي ته ځي او پروکسي تصدیقوي. دویمه ستاسو له پیرودونکي تونل دننه وېبپاڼې ته ځي او وېبپاڼه تصدیقوي. دواړه په خپلواکه توګه ناکامېږي او په خپلواکه توګه تنظیمېږي.
دوی جلا باور پرېکړې، جلا د سند زنځیرونه او جلا ناکامي پیغامونه لري. سازماني CA لرونکی پروکسي او عامه زنځیر لرونکې عامه وېبپاڼه کولی شي په قانوني توګه بېلابېلې کتنې ترتیب ته اړتیا ولري، او دا غلط ترتیب نه دی.
دوی دې دوه اړیکې وګڼئ چې ناڅاپه یو ساکټ شریکوي، ځکه چې دوی همداسې دي.
CONNECT واقعاً څه تونل کوي
پیرودونکی د کوربه او پورټ په نوم CONNECT غوښتنه لېږي، او پروکسي هغه هدف ته TCP اړیکه پرانیزي. وروسته له دې چې پروکسي ځواب ورکړ، راتلونکي بایټونه پرته له تشریح لېږدول کېږي، ځکه چې د وېبپاڼې TLS لاس نیول پرته له زیان پروکسي ته اوړي. نو پروکسي د منزل نوم او د اړیکې مېټاډاټا زده کوي، او له هغه ترتیب څخه کوډ پرانیستل شوې پاڼې نه ترلاسه کوي.
همدا توپیر د تونل حالت ټول امنیتي استدلال دی، او همدا یې حد هم دی.
پر پروکسي پټه TLS پرته HTTP پروکسي لا هم د CONNECT له لارې HTTPS وېبپاڼه وړي. د پیرودونکي او پروکسي تبادله ښکاره ده خو د وېبپاڼې اړیکه نه، او ټول شی HTTPS پروکسي بلل هغه توپیر پټوي.
کوم سند ناکام شو
کله چې کتنه ناکامه شي، مخکې له دې چې کوم باور تنظیم بدل کړئ، په تېروتنه کې نومول شوې پاینه ولولئ. دواړه ناکامۍ په ټرمینل کې ورته ښکاري او په بشپړه توګه بېلابېلو سمونو ته اشاره کوي، نو لومړی پوښتنه تل دا ده چې کومه اړیکه رد شوه.
curl د همدې دلیل لپاره انتخابونه جلا کوي. د پروکسي CA فایل د پروکسي کتنه تنظیموي، خو د CA فایل د سرور کتنه تنظیموي، او د تطبیق وړ باور زېرمې چلند هم په دې پورې اړه لري چې curl څنګه جوړ شو.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/د کتنې ځپل سمون نه دی. دا د دواړو پاینو په اړه هېڅ نه ثابتوي.
پلټنه بېله ترتیب دی
TLS پلټنه تونل کول نه دي. پلټونکی منځګړی وېبپاڼې ته د باور اړیکه پای ته رسوي او پیرودونکي ته خپل سند وړاندې کوي، نو پیرودونکی منځګړی کتنه کوي نه پاڼه. دا په تصویب شوې طرحه کې قانوني کېدای شي، او دا له بایټ په بایټ لېږد څخه په بنسټیزه توګه بېل ادعا ده. مه فکر کوئ چې هر پروکسي پلټنه کوي، او مه فکر کوئ چې کوډ شوې پروکسي پټه دا ردوي.
ستاسو په باور زېرمه کې سازماني CA دا نښه ده چې تاسو په کوم ترتیب کې یاست، نه ثبوت. د سند زنځیر څخه اټکل کولو پرځای طرحه وپوښتئ.
هغه دوه ترتیبه د دې پوښتنې بېلابېل ځوابونه ورکوي چې پاڼه څوک لولی شي.
پروکسي او VPN په همدغو څلورو کرښو پرتله کړئ
پرته له دې چې دواړه ځای پر ځای کېدل یو شان بیان شي، پرتله ګټوره نه کېږي.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
یوې غوښتنې لپاره تنظیم شوی پروکسي هماغه غوښتنه پوښي. دا په وسیله کې هره پروسه له ځانه نه تېروي، او د بېلګې امر همدومره تنګ دی. د VPN پوښښ د هغې د لارښوونې او د اپلیکیشن پالیسۍ پورې اړه لري، چې هغه هم باید وکتل شي نه اټکل. هېڅ انتخاب یوازې د نصب کېدو له امله هر څه نه پوښي.
د هر انتخاب لپاره څلور کرښې ولیکئ او بحث معمولاً پخپله حل کېږي. ګټوره پرتله دا نه ده چې کومه نښه ډېره کوډ شوې ښکاري. بلکې دا ده چې کومې برخې ساتل شوې دي، د هغوی په پایونو کې څوک کتل کېږي، کومو منځګړو باور لرئ، او پالیسي واقعاً کوم ټرافیک پوښي.