Протоколи · 1 хв читання

Метод HTTP CONNECT: як він працює

CONNECT — метод HTTP, завдяки якому HTTPS працює через проксі. Замість того щоб завантажити сторінку, він просить проксі відкрити «сирий» тунель до призначення, аби шифрований трафік пройшов недоторканим. Розбираємо роботу CONNECT крок за кроком.

Почати

Навіщо потрібен CONNECT

Звичайний HTTP-проксі працює так: читає ваш запит, забирає ресурс і повертає його вам — тобто бачить і переганяє весь запит і всю відповідь. Для чистого HTTP це нормально, але з HTTPS ламається: увесь сенс TLS у тому, що жоден посередник не читає трафік, тож проксі не може просто «сходити по сторінку» за вас, не зламавши шифрування.

Метод CONNECT розв'язує це. Замість того щоб просити проксі щось дістати, ваш клієнт просить його відкрити сирий TCP-тунель до хоста й порту і відійти вбік. Щойно тунель відкрито, клієнт виконує TLS-рукостискання напряму з призначенням через проксі, а проксі наосліп переганяє зашифровані байти в обидва боки. Відкритого тексту він не бачить — лише непрозорий потік і, з рядка CONNECT та SNI у TLS, ім'я хоста призначення. Саме так HTTP-проксі s4m на порту 3128 носить HTTPS.

Як встановлюється тунель

Схема коротка й конкретна:

Ваш клієнт надсилає проксі CONNECT example.com:443 HTTP/1.1 із заголовком Host і, якщо потрібно, обліковими даними в Proxy-Authorization.
Проксі відкриває TCP-з'єднання до example.com:443.
Якщо вдалося, проксі відповідає HTTP/1.1 200 Connection Established. З цієї миті з'єднання — голий тунель, жодної семантики HTTP більше немає.
Тепер клієнт проганяє TLS-рукостискання напряму з example.com через цей тунель, і всі подальші дані застосунку шифруються наскрізно.

Звідси два наслідки. По-перше, TLS лишається справді наскрізним: проксі нічого не автентифікує й нічого не читає всередині тунелю, тож сертифікат перевіряється між вашим клієнтом і справжнім сервером. По-друге, оскільки CONNECT просто відкриває TCP-тунель, проксі в принципі здатен протягнути й інші протоколи поверх TLS чи взагалі будь-які, на інших портах, — саме тому проксі зазвичай обмежують CONNECT портом 443 (і кількома іншими), щоб не перетворитися на відкритий релей.

Подивитися на CONNECT через curl

Для https:// URL через HTTP-проксі curl надсилає CONNECT сам. Додайте -v, щоб побачити запит CONNECT і відповідь «200 Connection Established».

bash

# Verbose: watch the CONNECT handshake to the proxy, then TLS to the site
curl -v -x http://USER:[email protected]:3128 https://example.com 2>&1 \
  | grep -Ei 'CONNECT|Connection established|SSL connection|Proxy-Auth'

# You'll see, in order:
#   > CONNECT example.com:443 HTTP/1.1        (client asks for a tunnel)
#   < HTTP/1.1 200 Connection established     (proxy opened the tunnel)
#   * SSL connection using TLSv1.3 ...        (TLS is end-to-end, past proxy)

# Contrast: plain HTTP needs no tunnel; the proxy relays the request itself:
curl -v -x http://USER:[email protected]:3128 http://example.com 2>&1 \
  | grep -Ei 'GET http|absolute'

FAQ

Відповіді на питання

Що робить метод HTTP CONNECT?

Він просить проксі відкрити сирий TCP-тунель до хоста й порту призначення, а не забрати ресурс. Щойно проксі відповів 200 Connection Established, клієнт проганяє власне TLS-рукостискання й зашифровані дані прямо до призначення, а проксі лише переганяє непрозорі байти. Саме так HTTPS ходить через HTTP-проксі.

Чи може проксі читати мій HTTPS-трафік усередині тунелю CONNECT?

Ні. Після відкриття тунелю TLS узгоджується наскрізно між вашим клієнтом і сервером призначення, тож проксі бачить лише зашифровані байти. Ім'я хоста й порт він бачить із рядка CONNECT і SNI у TLS, а от вміст — ні, якщо тільки він не перехоплює TLS сертифікатом, якому довіряє ваш пристрій.

Чому проксі обмежують CONNECT портом 443?

Бо CONNECT відкриває довільний TCP-тунель, і проксі без обмежень міг би переганяти будь-який протокол на будь-який порт і став би відкритим релеєм для зловживань. Обмеження CONNECT портом 443 (іноді ще коротким білим списком) лишає його для звичайного HTTPS і не дає тунелювати через проксі сторонні сервіси.

Читайте далі

Вам також може сподобатися

HTTP-проксі, який тунелює HTTPS

Автентифікований HTTP-проксі s4m на порту 3128 обробляє CONNECT, тож HTTPS лишається зашифрованим наскрізно; поруч працює SOCKS5 на 1080. Оплата за спожите, анонімні акаунти, приймаємо криптовалюту.

Переглянути ціни на проксі Дивитись ціни

Цю сторінку знаходять за запитами

метод HTTP CONNECT
що таке метод HTTP CONNECT
метод HTTP CONNECT пояснення
налаштування проксі у Puppeteer з автентифікацією
метод HTTP CONNECT для початківців
купити http проксі
socks5 проксі
як налаштувати WireGuard VPN, крок за кроком
що таке http проксі
автентифікація проксі
як працює vpn kill switch
серверні, резидентні та мобільні проксі
кращі vpn kill switch 2026
проксі для парсингу пояснення
проксі для парсингу

Реальні пошукові фрази, на які відповідає ця сторінка — за посиланнями відкриються матеріали, що розкривають тему глибше.