networking - 如何在没有不受信任的服务器问题的情况下将 Internet https 请求重定向到 Intranet https 服务器

Question

场景:我们有一个广播 wifi 网络的设备 (R)。目标是能够将连接到此 wifi 的客户端设备限制为仅由 R 提供的内容。R 有一个提供内容的 nginx 服务器和一个节点服务来呈现一些强制门户功能。

挑战:虽然我们希望连接到 Wifi 的设备只能接收来自 R 的内容，但用户没有理由不输入他的 Internet 主机名(如 https://google.com/)浏览器的地址字段。对于此类 Internet http URL，我们使用 301 将请求重定向到 R 的 https 服务，我们没有遇到任何问题，但是对于 Internet 上的 Internet https URL，我们得到一个 客户端浏览器中不受信任的 https 证书弹出窗口，我想取消。

寻求的解决方案:我希望 https 请求也能由 R 无缝服务，而客户端设备不会提示 https 证书。这可行吗？

Answer 1

HTTPS 是 SSL/TLS 隧道内的 HTTP。要建立此隧道，您需要正确识别对等方，否则可能会发生中间人攻击。由于重定向是通过 HTTP 完成的，因此您首先需要建立 SSL/TLS 隧道，然后才能进行重定向。这意味着，如果您尝试重定向 google.com，您将需要一个将您自己标识为 google.com 的证书，并且该证书需要由浏览器信任的人(即受信任的根 CA)签名。由于您没有这个并且可能永远不会获得(因为只有域的所有者应该获得这样的证书)您尝试做的事情是不可能的。