HTTP 隧道技術詳解：CONNECT 方法、代理穿透與 HTTPS 代理原理

前言：為什麼 HTTPS 代理需要 CONNECT？

使用 libcurl 等網絡庫通過 HTTP 代理訪問 HTTPS 資源時，會發現兩個 HTTP 響應。這背後是 RFC 2817 定義的 CONNECT 方法建立的隧道機制。

HTTP 隧道兩種模式

1. 非 CONNECT 隧道（傳統轉發代理）

• 客戶端發送完整 HTTP 請求（含絕對 URI）給代理。
• 代理解析請求，重新建立 到目標服務器的連接，轉發請求。
• 代理可見、可修改 明文 HTTP 報文（頭部、Body）。
• 適用於 HTTP 協議，不適用 HTTPS（無法解密）。

2. CONNECT 隧道（隧道代理）

• 客戶端發送 CONNECT host:port HTTP/1.1 給代理。
• 代理與目標 host:port 建立 TCP 連接。
• 代理返回 200 Connection Established。
• 此後雙向透傳 TCP 數據，代理不解析、不修改 內容。
• 客戶端在隧道內發起 TLS 握手，直接與目標服務器通信。

CONNECT 流程時序圖

Client                          Proxy                          Target Server
  │                               │                                 │
  ├─ CONNECT api.example.com:443 ─►│                                 │
  │                               ├─ TCP SYN ─────────────────────►│
  │                               │◄─ TCP SYN/ACK ────────────────┤
  │◄── 200 Connection Established ┤                                 │
  │                               │                                 │
  ├═══════ TLS ClientHello ══════════════════════════════════════►│
  │                               │                                 │
  │◄═══════ TLS ServerHello ══════════════════════════════════════┤
  │                               │                                 │
  │  (後續加密應用數據雙向透傳)    │                                 │

代碼層面實現邏輯

// 伪代碼：libcurl/Chromium 等庫的處理邏輯
if (proxy && scheme == "https") {
    // 1. 發送 CONNECT 請求
    send_request("CONNECT " + host + ":" + port + " HTTP/1.1\r\n" +
                 "Host: " + host + "\r\n" +
                 (proxy_auth ? "Proxy-Authorization: ...\r\n" : "") +
                 "\r\n");
    
    // 2. 讀取響應，必須是 2xx
    response = read_response();
    if (response.status < 200 || response.status >= 300)
        throw ProxyConnectFailed();
    
    // 3. 隧道建立，同一 socket 升級為 TLS
    ssl_socket = tls_handshake(socket, host);
    
    // 4. 發送真實的 HTTP 請求
    ssl_socket.send("GET /path HTTP/1.1\r\nHost: " + host + "\r\n...\r\n");
}

安全性與風險

為什麼代理服務器常限制 CONNECT 只能連 443？

• 防止內網主機利用代理建立 SSH (22)、MySQL (3306)、RDP (3389) 等隧道繞過出站策略。
• 合規要求：僅允許標準 HTTPS 流量通過代理。

常見問題排查

1. 雙重響應：第一個是 CONNECT 的 200，第二個是 TLS 內的真實 HTTP 響應。
2. 403/407：代理拒絕 CONNECT，需檢查白名單、認證頭。
4. 超時：代理與目標建連失敗，檢查 DNS、防火牆、目標端口開放。

總結

• CONNECT 是 HTTP/1.1 為 HTTPS 代理設計的隧道建立機制。
• 隧道建立後，代理降級為盲轉發器，實現端到端加密。
• 所有主流 HTTP 客戶端庫（curl、Go http、Java HttpClient、Python requests）均內置此邏輯。
• 運行維護需在代理層面做端口白名單、認證、流量審計，防止濫用。