http - openssl s_client 通过代理与 clientAuth 建立 TLS 连接

Question

我想使用 openssl s_client 使用 CONNECT 请求方法通过代理 (Squid) 打开到源服务器的 TLS 连接。我正在使用客户端证书连接到代理服务器，如下所示:

openssl s_client -connect my_proxy:4443 -CAfile /etc/ssl/ca/ca.crt -cert /etc/ssl/cert/client.crt -key /etc/ssl/key/client_key.pem

运行上面的命令后，连接信息打印出来了，然后我输入了 CONNECT 和 GET 方法，这工作正常:

CONNECT www.google.com:80 HTTP/1.1
Host: www.google.com

HTTP/1.1 200 Connection established

GET /search?q=ip+address HTTP/1.1
Host: www.google.com

HTTP/1.1 200 OK

但是，我真的很想建立一个 TLS (https) 连接，但我无法让它工作:

CONNECT www.google.com:443 HTTP/1.1
Host: www.google.com

HTTP/1.1 200 Connection established

GET /search?q=ip+address HTTP/1.1

closed

我在这里做错了什么？在您说要尝试具有 -proxy 参数的 OpenSSL 1.1.x 之前，我已经尝试过了。请注意，上述命令中的 CA 证书、客户端证书和客户端 key 用于连接到我的代理服务器，而不是用于目标服务器 (google.com)，如下所示，使用 OpenSSL 1.1.0-pre3(如果我使用相同的输出尝试连接到 google:443)。

openssl s_client -connect google.com:80 -proxy my_proxy:4443 -CAfile /etc/ssl/ca/ca.crt -cert /etc/ssl/cert/client.crt -key /etc/ssl/key/client_key.pem

CONNECTED(00000003)

s_client: HTTP CONNECT failed

no peer certificate available

No client certificate CA names sent SSL handshake has read 0 bytes and written 25 bytes Verification: OK

New, (NONE), Cipher is (NONE) Secure Renegotiation IS NOT supported Compression: NONE Expansion: NONE No ALPN negotiated

我能够将我的客户端证书、客户端 key 和 CA 证书加载到 Firefox 中(全部捆绑在一个 pkcs12 文件中)并且能够通过 TLS 连接到各种网站。这应该可以在命令行上实现。

Answer 1

Note that the CA cert, client cert and client key on the above command are for the connection to the proxy server, not for the -connect server."

我对此表示怀疑。根据来源 -proxy 仅用于通过代理建立隧道，即

• 使 TCP 连接到给定的代理
• 从 -connect 参数向代理发送带有目标的 CONNECT 请求
• 等待代理响应隧道建立
• 创建隧道时不涉及证书，这是应该的

This should be possible on the command line.

这只能通过 -proxy 选项实现。没有此选项的 s_client 版本不能单独用于通过 HTTP 代理建立连接，因为根本没有实现必要的功能。您可以尝试将 s_client 与其他提供必要隧道的工具一起使用，例如 socat或 proxytunnel .