代理服务器如何过滤 https 网站？

Question

由于我对 HTTPS 的了解有限，我开始想知道：代理服务器如何过滤 HTTPS 网站？我的意思是添加代理服务器本质上是一种 MITM 攻击，这是 HTTPS 明确应该防止的

我能想到的唯一方法是通过IP和端口阻止服务器。但是，对于SNI和通配符证书之类的东西，这意味着您可以阻止合法内容（假设必须阻止的站点与在这种情况下必须可用的站点共享 IP）。

那它有什么作用呢？由于加密，您无法读取连接的内容；您只知道有人很可能向某个 IP 地址发送 HTTPS 请求。

Answer 1

代理服务器如何过滤 HTTPS 网站？

这不是很容易。你有几个糟糕的选择，每个都有自己的问题。

您可以纯粹在通过 HTTP CONNECT 请求传递的 NAME/IP 上执行此操作。这意味着您可能会有很多误报/误报。

您可以执行 MITM 攻击。对于公司环境中的几个产品，设置了 CA，并且必须受到客户端的信任，代理服务器根据需要创建证书，以便客户端相信一切正常。代理必须验证用户连接到的站点的证书。这也意味着如果一个站点没有有效的 SSL 证书，那么客户端可能完全不可能继续访问该站点。我怀疑如果你这样做，你也会有更大的法律问题机会。

也有可能在客户端机器上运行过滤器，但除非客户端机器真的被锁定，否则这可能不会很好地工作。

但是，对于 SNI 和通配符证书之类的东西，这意味着您可以阻止合法内容

如果你真的需要过滤 SSL，你几乎肯定需要将它作为白名单，而不是黑名单。因此，您允许信任的站点，并阻止不良站点。