HTTPS proksi ikki xil TLS ulanishini bildiradi, bittasini emas
Proksi bosqichi va veb-sayt alohida ishonchga ega alohida TLS munosabatlaridir. Har qanday sertifikat sozlamasini o'zgartirishdan oldin qaysi oxir nuqta muvaffaqiyatsiz bo'lganini o'qing.
HTTPS proksi atamasi mijozingiz bilan proksi o'rtasidagi uzatishni tasvirlaydi, bundan boshqa narsani emas. U orqadagi veb-sayt aynan shu ulanish bilan shifrlanganini aytmaydi va proksi sahifani o'qiy olishini ham aytmaydi. Ikki ulanishni ajratsangiz, sertifikat xatolari sirli bo'lishdan to'xtaydi va VPN bilan taqqoslash aniq bo'ladi.
Ikki juft oxir nuqta, ikki tekshiruv
Oddiy tunnel rejimida ikki TLS munosabati mavjud. Birinchisi mijozingizdan proksiga boradi va proksini autentifikatsiya qiladi. Ikkinchisi mijozingizdan tunnel ichidagi veb-saytga boradi va veb-saytni autentifikatsiya qiladi. Ular mustaqil ravishda muvaffaqiyatsiz bo'ladi va mustaqil ravishda sozlanadi.
Ularning alohida ishonch qarorlari, alohida sertifikat zanjirlari va alohida xato xabarlari bor. Tashkiliy CA ishlatadigan proksi va ommaviy zanjir ishlatadigan ommaviy veb-sayt qonuniy ravishda turli tekshiruv sozlamalarini talab qilishi mumkin va bu noto'g'ri sozlama emas.
Ularni bitta soketni baham ko'radigan ikki ulanish deb qarang, chunki ular aslida shunday.
CONNECT aslida nimani tunnel qiladi
Mijoz xost va portni ko'rsatuvchi CONNECT so'rovini yuboradi va proksi o'sha nishonga TCP ulanishini ochadi. Proksi javob bergach, keyingi baytlar talqin qilinmasdan uzatiladi, shuning uchun veb-saytning TLS qo'l berib ko'rishishi proksidan o'zgarmagan holda o'tadi. Shu tariqa proksi manzil nomini va ulanish metama'lumotlarini bilib oladi va bu tartibdan shifri ochilgan sahifalarni olmaydi.
Aynan shu farq tunnel rejimining butun xavfsizlik dalilidir va u uning chegarasi hamdir.
Proksi bosqichida TLS bo'lmagan HTTP proksi ham CONNECT orqali HTTPS veb-saytini olib o'tadi. Mijoz va proksi o'rtasidagi almashinuv ochiq, veb-sayt ulanishi esa emas, butun ishni HTTPS proksi deb atash shu farqni yashiradi.
Qaysi sertifikat muvaffaqiyatsiz bo'ldi
Tekshiruv muvaffaqiyatsiz bo'lsa, har qanday ishonch sozlamasini o'zgartirishdan oldin xatoda nomlangan oxir nuqtani o'qing. Ikki nosozlik terminalda o'xshash ko'rinadi va butunlay boshqa yechimlarga ishora qiladi, shuning uchun birinchi savol doim qaysi ulanish rad etilgani bo'ladi.
curl variantlarni aynan shu sababdan ajratadi. Proksi CA fayli proksini tekshirishni sozlaydi, CA fayli esa serverni tekshirishni sozlaydi va amaldagi ishonch omborining xatti-harakati ham curl qanday qurilganiga bog'liq.
curl -v --proxy https://proxy.example.net:443 \
--proxy-cacert org-ca.pem --cacert public-ca.pem https://www.example.com/Tekshiruvni bostirish tuzatish emas. U hech bir oxir nuqta haqida hech narsani isbotlamaydi.
Tekshirish boshqa tartib
TLS tekshiruvi tunnel qilish emas. Tekshiruvchi vositachi veb-saytga qaragan ishonch munosabatini tugatadi va mijozga o'z sertifikatini taqdim etadi, shuning uchun mijoz saytni emas, vositachini tekshiradi. Tasdiqlangan dizayn ostida bu qonuniy bo'lishi mumkin va bu bayt-bayt uzatishdan tubdan farqli da'vodir. Har bir proksi tekshiradi deb o'ylamang va shifrlangan proksi bosqichi buni istisno qiladi deb ham o'ylamang.
Ishonch omboringizdagi tashkiliy CA qaysi tartibda ekaningizga ishora, dalil emas. Sertifikat zanjiridan xulosa chiqarish o'rniga dizaynni so'rang.
Bu ikki tartib sahifani kim o'qiy olishi savoliga turli javoblar beradi.
Proksi va VPNni bir xil to'rt satrda taqqoslang
Taqqoslash faqat ikkala joylashtirish ham bir xil tarzda tasvirlanganda foydali bo'ladi.
| Line | What to state |
|---|---|
| Protected segments | Which hops are encrypted, and between which endpoints |
| Verified identities | What each end proves, and against which trust anchor |
| Trusted intermediaries | Who can read or alter traffic by design |
| Traffic included | Which processes and destinations the policy actually covers |
Bitta so'rov uchun sozlangan proksi faqat shu so'rovni qamrab oladi. Qurilmadagi har bir jarayonni u orqali yubormaydi va misol buyruq aynan shunchalik tordir. VPN qamrovi uning marshrutlash va ilova siyosatiga bog'liq, buni ham taxmin qilish emas, ko'rib chiqish kerak. Hech bir variant faqat o'rnatilgani uchun hamma narsani qamrab olmaydi.
Har bir variant uchun o'sha to'rt satrni yozing va bahs odatda o'z-o'zidan hal bo'ladi. Foydali taqqoslash qaysi yorliq shifrliroq eshitilishida emas. Gap qaysi segmentlar himoyalanganida, ularning uchlarida kim tekshirilishida, qaysi vositachilarga ishonishingizda va siyosat aslida qanday trafikni qamrab olishida.