隧道代理原理

​

HTTP客户端通过CONNECT方法请求隧道代理创建一条到达任意目标服务器和端口的TCP连接，并对客户端和服务端之间的后续数据进行 #盲转发 。

代理服务器收到一个http格式的CONNECT请求 CONNECT 172.20.10.2:443 HTTP/1.1 Host: 172.20.10.2:1809 Proxy-Connection: keep-alive Cache-Control: max-age=0 Proxy-Authorization: basic * Content-Length: 0 ​

Proxy-Authorization： 用于代理服务器验证使用。 * 为 name:password ,然后经过base64编码

对于CONNECT连接来说，只是用来让代理创建TCP连接，所以只需要提供服务器域名和端口即可，并不需要具体的资源路径。

代理服务器会根据这个请求，判断是否可以进行代理(是否鉴权通过，是否可以访问目标服务器等)，如果可以代理，就返回200的状态码，当然返回的描述不是OK，而是Connection established HTTP/1.1 200 Connection established

但是和http不同，这个时候不会关闭TCP连接，而是继续使用

客户端就会将要发送的请求数据包（当然是加密之后的）通过这个建立的TCP连接发给代理，代理会将这个请求转发给目标服务器 目标服务器返回响应（当然也是加密之后的）给代理，代理再通过这个TCP连接返回给客户端

可以看出，这是在4层协议进行的代理，代理除了知晓客户端访问的服务器之外，是无法知晓具体的数据内容的

​