http - tinyproxy 无法转发 Connect 方法

Question

我正在尝试为所有类型的帧(HTTP、HTTPS)设置一个透明代理，我正在使用 tinyproxy 来这样做。我已经设置了我的路由器以将所有传入和传出帧重定向(使用 NAT)到 tinyproxy(它正在监听端口 8888)。

我尝试访问 HTTPS 网站 ( https://www.google.com/ )，但出现 SSL 连接错误。查看 tinyproxy 日志，我看到以下内容:

CONNECT   Mar 24 23:34:27 [22533]: Connect (file descriptor 11): 128.112.94.38 [128.112.94.38]
CONNECT   Mar 24 23:34:27 [22533]: Request (file descriptor 11): 
WARNING   Mar 24 23:34:27 [22533]: Could not retrieve all the headers from the client
INFO      Mar 24 23:34:27 [22533]: Read request entity of 103 bytes

tinyproxy 文档说只要我在 tinyproxy.conf 文件中设置以下几行，Connect 帧的转发就应该透明地工作:

# ConnectPort: This is a list of ports allowed by tinyproxy when the
# CONNECT method is used.  To disable the CONNECT method altogether, set
# the value to 0.  If no ConnectPort line is found, all ports are
# allowed (which is not very secure.)
#
# The following two ports are used by SSL.
ConnectPort 443
ConnectPort 563

我还尝试删除所有 ConnectPort 行以查看是否有效(无效)。有谁知道为什么我无法透明转发 HTTPS 流量？

Answer 1

您没有在正常的网络意义上使用术语“帧”(L2)，TCP 或 HTTP/HTTPS 连接 (L6/7) 在这里使用更合适。

tinyproxy 将处理 HTTP 代理请求连接，其中 CONNECT 是一种类型，或者在透明模式下处理非代理 HTTP 请求(您可以确认在 tinyproxy -h 显示的功能列表中启用。

当浏览器配置为使用代理时，它会相应地修改其出站请求。在透明模式下，浏览器不知道代理(并且不能配置代理)。 ConnectPort 选项列出了客户端允许在正常代理模式下CONNECT(以防止滥用)的端口。

如果您在 HTTPS 的透明模式下使用 tinyproxy，则没有 CONNECT，更重要的是没有 header (这就是您看到该错误的原因)和没有网址。通常主机/端口部分可以从目标 IP、端口和 SNI 扩展中推断/推断出来——因为 tinyproxy 依赖于一些外部防火墙来重定向(更改目标 IP)连接到它，它不会具有请求的完整信息。

此时 tinyproxy 只能用作透明的 HTTP 代理，文档对此有些模糊。如果没有 HTTPS 检查(即 TLS 连接的解密)来访问客户端请求，它甚至不能成为一个简单的 TCP 连接转发器。 squid 等其他代理支持 TLS 检查 ( sslbump )。