WebブラウザからのHTTPS通信とプロキシの関係について

Question

クライアント端末からWebブラウザを用いて、WebサーバとHTTPSの通信をする際に
Webブラウザにプロキシ設定がなされていた場合、プロキシは暗号化されたデータをそのまま、橋渡ししてるだけでしょうか。

端末でパケットキャプチャと取得したところ、DistinationIPがプロキシサーバになっており、プロキシサーバでパケットキャプチャを取得したところ、SourceIPはプロキシサーバになって通信をWebサーバへ通信していましたが、どのように端末とWebサーバとのやり取りであることを把握しているのでしょうか。

ご教授ください。
プロキシはsquidにて構築しています。

質問１：プロキシはHTTPSでの通信において、暗号化・複合化の処理に何か影響しているか。
質問２：プロキシはどのようにクライアントとサーバ間の通信であることを把握しているか。

以上です。よろしくお願いいたします。

Answer 1

質問１：squid は man in the middleの運用ではなければ、connect methodが許可されていれば、中身をきにせず、パケットを中継します。

ex.
http_access deny CONNECT !SSL_ports
※ SSL_ports以外のCONNECTを拒否する

質問２：connect methodでの通信だとして、クライアントが connect DESTINATION:PORT PROTOCOL として要求し、squidがその情報をもとに、トンネルを構成します。

5.2 Requesting a Tunnel with CONNECT

シーケンスで分かりやすいものがないか、検索してみたのですが、良いのが出てきませんでした。。。

Comments

[omusi]

すばやい回答ありがとうございます。
質問１については理解しました。

質問２について再度質問させてください。
DestinationIP：PORT　でトンネルを形成してやり取りすることは理解しましたが
クライアントのパケットキャプチャを見ると、DisptinationIPがプロキシになっており、本来の宛先IPアドレスがどこに保持されているかが知りたいです。

重ねて申し訳ありませんが、ご教授ください。

[Ken.sakanakana]

ClientのDestinationはProxyで間違いありません。
ClientからConnectで与えられたDestinationIPに対してProxyがトンネルを張ります。
(動作は異なりますが、NA(P)Tをイメージされるとわかりやすいかもしれません)
ConnectはProxyとClient間でやり取りされる手順(Protocol)です。

The CONNECT method allows data transfer in any direction at any time:・・・
→ http://www.deckle.co.uk/squid-users-guide/squid-access-control-and-access-control-operators.html

パケットキャプチャで、CONNECT以降のデータはSSLのハンドシェイクまでは追いかけられるかもしれませんが、それ以降はSSLで暗号化されたパケットのやり取りになるので、サーバ側の秘密鍵がなければパケットの中身を見ることはできません。

GETメソッドでリクエストできるキャッシュ可能な通常のProxy動作と異なりCONNECTモードはわかりづらいですね ;-)

[Ken.sakanakana]

ちなみに、clientからCONNECTで与えられたDESTINATION(接続先)が、IPアドレスでなく、FQDNの場合proxyが名前の解決を行ってIPアドレスを取得して接続すると思います。

[omusi]

年末年始を挟んでお礼が遅くなりました。
詳しい説明をしていただいてありがとうございます。

なかなか難しいですね・・・。