On 05/10/2010 12:20 PM, Stefan Bauer wrote:
Am 10.05.2010 11:34, klaus zerwes schrieb:SSH Tunnel ist Proxy-Technisch in etwa so wie ein "transparent Proxy". Und das funktioniert nicht für SSL, da das in etwa auch die Technik eines "man in the middle" Angriffes wäre.Hier musst du mir genauer erklären, was du mir eigentlich sagen willst. Bitte auch nochmal meine erste Mail lesen, damit wir nicht aneinander vorbei reden.
Du baust einen SSH-Tunnel auf, der localhost:8080 an kunde.ath.cx:8080 weiterleitet. Sehr ähnlich geht man bei dem Einsatz eines "transparent / interception Proxy" vor, indem man z.B. am Router Port 80 abgreift und an den Proxy weiterleitet. Dadurch kann man einen Proxy einsetzen, ohne die Clients konfigurieren zu müssen bzw. hat die Möglichkeit Software die keine Proxy-Konfiguration unterstützt über einen Proxy arbeiten zu lassen.
Bei HTTPS/TLS/SSL wird das so nicht funktionieren (OK, es gibt wohl Möglichkeiten, wenn MITM und Der Server-Endpunkt zusammenarbeiten, aber das lasssen wir mal hier sein). HTTPS setzt eine End-Zu-End Verschlüsselung ein. Somit kann der Proxy nicht transparent arbeiten weil die Authentifizierung der Endpunkte (SSL Handshake) fehlschlägt und der Proxy mit dem verschlüsselten Header nicht umgehen kann. Wenn man im Browser einen HTTPS Proxy Konfiguriert, sieht das ein bisschen anders aus. Dann setzt der Browser einen speziellen Header und der Proxy öffnet eine eigenen Kanal für den Datentransfer (ohne ihn zu entschlüsseln) (CONNECT - Method). Diese HTTPS-Seiten werden in der Regel vom Proxy auch nie zwischengespeicher. (Auch hier gibt es die bekannten Ausnahmen die die Regel bestätigen. Man kann, wenn man dem Client ein entsprechendes Zertifikat unterjubelt, dann sogar Content-Filtering betreiben.)
Die einzige Lösung die mir auf die Schnelle einfällt wäre ein VPN aufzubauen und dann den Proxy im Browser eintragen - dann sollte es problemlos gehen.Wo ist in deinen Augen der Unterschied, ob ich mit SSH oder VPN einen Tunnel zum Proxyserver grabe?
Portforwarding vs. Routing
Stefan
Klaus -- Klaus Zerwes http://www.zero-sys.net