http代理和https代理的原理--魔法上网的基石

开启代理

windows下开启代理

ubuntu下开启代理

http代理

假设我们向127.0.0.1:80发送一个http请求，发送的请求格式如下

GET /dir/xx.png HTTP/1.1
Host: 172.20.10.2:1809
Proxy-Connection: keep-alive
Cache-Control: max-age=0
Content-Length: 0

这个表示向http://127.0.0.1:80/dir/xx.png以GET方法请求，最后会获取一张图片。

在开启http代理后，比如代理的地址是127.0.0.1:10080，则同样是上面的请求，最后就会变成向127.0.0.1:10080发送一个http请求，发送的请求格式如下

GET http://172.20.10.2:10080/dir/xx.png HTTP/1.1
Host: 172.20.10.2:1809
Proxy-Connection: keep-alive
Cache-Control: max-age=0
Content-Length: 0

可以发现只有请求的path被修改了，变成了完整的路径

我们的代理服务监听127.0.0.1:10080端口，由于http是明文通讯的，所以可以直接解析出请求的path，代理服务只要将这个请求转发到path指定的路径，并将响应转发回客户端，就可以实现代理

https代理

https的安全性更高，所以整个过程中的请求和响应都是加密，这时候代理就无法解析出path，就无法像http代理那样简单处理就可以实现。

隧道代理原理：HTTP客户端通过CONNECT方法请求隧道代理创建一条到达任意目标服务器和端口的TCP连接，并对客户端和服务端之间的后续数据进行 #盲转发。

在开启https代理后，比如代理的地址也是127.0.0.1:10080，则发起一个https请求的过程就变成了

下载.png

代理服务器收到一个http格式的CONNECT请求

CONNECT 172.20.10.2:443 HTTP/1.1
Host: 172.20.10.2:1809
Proxy-Connection: keep-alive
Cache-Control: max-age=0
Proxy-Authorization: basic *
Content-Length: 0

Proxy-Authorization：用于代理服务器验证使用。 * 为 name:password ,然后经过base64编码

对于CONNECT连接来说，只是用来让代理创建TCP连接，所以只需要提供服务器域名和端口即可，并不需要具体的资源路径。

代理服务器会根据这个请求，判断是否可以进行代理(是否鉴权通过，是否可以访问目标服务器等)，如果可以代理，就返回200的状态码，当然返回的描述不是OK，而是Connection established

HTTP/1.1 200 Connection established

但是和http不同，这个时候不会关闭TCP连接，而是继续使用

客户端就会将要发送的请求数据包（当然是加密之后的）通过这个建立的TCP连接发给代理，代理会将这个请求转发给目标服务器
目标服务器返回响应（当然也是加密之后的）给代理，代理再通过这个TCP连接返回给客户端

可以看出，这是在4层协议进行的代理，代理除了知晓客户端访问的服务器之外，是无法知晓具体的数据内容的