HTTPS CONNECT

HTTP 中的 CONNECT 方法允许客户端指示代理服务器与指定的目标主机和端口建立直接的 TCP 隧道，主要用于让 HTTPS 等非 HTTP 流量安全地封装并通过代理传输。该机制对于让加密通信在代理不解密流量的前提下穿越 HTTP 代理至关重要。

理解基于 CONNECT 的代理隧道

当客户端需要通过 HTTPS 访问资源时，通信必须在客户端与源服务器之间实现端到端加密。标准 HTTP 代理通常通过读取并转发 HTTP 请求（GET、POST 等）来工作，由于无法在不破坏 TLS（Transport Layer Security）连接的情况下解密数据，因此无法直接处理 HTTPS 流量。CONNECT 方法通过在连接期间将代理转变为一个简单的 TCP 中继来解决这一问题。

加密流量给代理带来的难题

HTTPS 依赖客户端直接与源服务器发起的 TLS 握手。握手过程中会交换加密密钥和证书，从而建立安全的加密通道。如果代理试图拦截并解密这类流量，就必须向客户端出示自己的证书，而该证书与客户端预期的源服务器证书不匹配，除非事先配置了特定的信任关系，否则会触发安全警告或导致连接失败。

CONNECT 方法通过指示代理向指定目标打开一条原始 TCP 连接来规避该问题。连接建立后，代理不再解析 HTTP 请求，而是直接在客户端与目标服务器之间转发后续的全部原始字节流，实际上形成了一条"盲隧道"。

CONNECT 方法的工作流程

通过 CONNECT 方法建立 HTTPS 隧道的过程，包含客户端与代理之间一次独立的握手，随后客户端再通过已建立的隧道与源服务器直接完成 TLS 握手。

1. 客户端向代理发送 CONNECT 请求：
   客户端向代理服务器发送 HTTP CONNECT 请求以启动整个过程。该请求指定客户端希望连接的目标主机和端口。HTTPS 通常使用 443 端口。

   http CONNECT www.example.com:443 HTTP/1.1 Host: www.example.com:443 Proxy-Connection: Keep-Alive User-Agent: MyApp/1.0
   该请求向代理表明："请与 www.example.com 的 443 端口建立一条原始 TCP 连接。连接建立后，将我与该服务器之间的所有后续数据原样转发，不做任何检查。"

2. 代理建立连接并作出响应：

   • 代理收到 CONNECT 请求后，尝试与 www.example.com 的 443 端口建立直接的 TCP 连接。
   • 如果连接成功建立，代理会向客户端返回 HTTP 200 OK 响应。

   http HTTP/1.1 200 Connection established Proxy-Agent: MyProxyService/1.0
   这个 200 OK 响应向客户端确认 TCP 隧道已经生效。

3. TLS 握手与加密通信：

   • 收到 200 OK 后，客户端不再向代理发送 HTTP 请求，而是开始通过已建立的代理隧道，直接向 www.example.com 发送原始的 TLS 握手报文。
   • 代理仅作为中继，转发这些 TLS 报文，不尝试解读或修改其内容。
   • TLS 握手成功完成后，客户端与 www.example.com 之间即建立端到端加密通道。后续所有应用层数据（例如通过 HTTPS 传输的 HTTP 请求与响应）都在该隧道中安全传输，对代理完全不可见。

CONNECT 隧道的优势

• 端到端加密： 最主要的好处是保留了端到端加密。代理永远看不到通信的明文内容，从而保证客户端与源服务器之间数据的机密性和完整性。
• 协议无关： 虽然主要用于 HTTPS，但 CONNECT 方法可以隧道任何基于 TCP 的协议。隧道建立后代理只转发原始字节，无需理解被封装的协议。
• 穿越防火墙： CONNECT 让处于严格防火墙后的客户端能够把全部流量汇集到单一被允许的代理端口（通常为 80 或 443），从而访问外部服务（例如安全网站）。
• 隐私性： 由于代理不检查隧道内的数据，通信内容在客户端与目标之间保持私密。

安全注意事项

标准 CONNECT 与 SSL/TLS 拦截型代理的区别

如前所述，标准的 CONNECT 代理是一个"盲中继"。它不执行中间人（MITM）攻击，不解密、不检查、也不重新加密 HTTPS 流量。客户端浏览器直接验证源服务器的证书，从而确保连接的真实性。

相比之下，一些专门的代理方案（通常称为"SSL/TLS 检查代理"或"拦截代理"）确实会执行 MITM 攻击。这类代理旨在解密并检查加密流量，用于内容过滤、数据防泄漏（DLP）或威胁检测等目的。其工作方式包括：

1. 拦截客户端的 CONNECT 请求。
2. 由代理自行与源服务器建立自己的 TLS 连接。
3. 为请求的域名动态生成一张新的 SSL 证书，由代理运营方控制的自定义根证书颁发机构（CA）签发。
4. 将这张由代理生成的证书出示给客户端。
5. 如果客户端已配置为信任该代理的自定义根 CA（通常是将其安装到操作系统的信任存储中），客户端便会接受该证书并与代理建立 TLS 连接。
6. 此时代理实际上维持着两条独立的 TLS 连接：一条与客户端，一条与源服务器。这使它能够解密来自客户端的流量、进行检查，再重新加密后转发给源服务器，反向亦然。

如果客户端没有明确信任代理的根 CA 证书，浏览器会显示严重的证书警告，提示存在潜在安全风险。我们的服务作为标准 CONNECT 代理运行，不做任何拦截，完整保留端到端加密。

代理配置与 CONNECT

当客户端应用或浏览器被配置为使用 HTTP 代理时，它会根据目标 URL 的协议方案，自动判断应使用标准 HTTP 方法（对未加密的 HTTP 使用 GET 或 POST）还是 CONNECT 方法（对加密的 HTTPS）。

例如，如果浏览器被配置为使用 proxy.example.com:8080：
* 访问 http://www.unencrypted.com 的请求，会向 proxy.example.com:8080 发送 GET http://www.unencrypted.com HTTP/1.1。
* 访问 https://www.encrypted.com 的请求，会向 proxy.example.com:8080 发送 CONNECT www.encrypted.com:443 HTTP/1.1。

对比：HTTP 代理与 HTTPS 代理（通过 CONNECT）

对用户的实际影响

使用支持 CONNECT 方法的代理服务，可确保您的 HTTPS 流量在客户端与目标服务器之间保持安全和私密。我们的服务在设计上对您的加密通信只做隧道转发，不做拦截或修改，完整保留端到端加密。

• 防火墙兼容性： 为客户端配置代理时，请确保本地防火墙规则允许对代理服务器 IP 地址和端口的出站连接（例如 proxy.service.com:8080）。随后由代理负责与最终目标建立连接。
• 性能： CONNECT 隧道带来的开销极小，主要是最初的 CONNECT 请求与响应。隧道建立之后，数据传输性能主要取决于客户端、代理与源服务器之间的网络延迟和带宽。
• 故障排查： 如果使用代理访问 HTTPS 站点时出现问题，请检查以下几点：
  • 客户端应用或浏览器中的代理主机与端口配置是否正确。
  • 您的客户端到代理服务器的网络连通性是否正常。
  • 代理服务器是否被配置为阻止访问该特定的目标主机或端口。