代理、隧道与网络诊断

掌握 DNS 解析、TCP 建连、TLS 握手、HTTP 请求/响应与超时的发生层级。

区分正向、反向、透明、上游链和 SOCKS，标注客户端、代理、源站与解析方。

让自有客户端显式连接 localhost 调试代理，对比明文、CONNECT 隧道和受控 TLS 解密。

加入认证、最小监听、日志脱敏、容量、健康检查和证书生命周期。

正向代理代表客户端访问外部服务；反向代理代表服务端接收请求。二者的所有者、策略和证书责任不同。

CONNECT 通常建立字节隧道，代理未必读取 TLS 内容；终止 TLS 则需要证书信任并产生新的明文边界。

客户端解析、代理解析与 SOCKS 远端解析会得到不同路径；排错时必须记录解析发生在哪里。

在练习目录启动只绑定回环地址的静态服务，避免向局域网暴露。

python -m http.server 8000 --bind 127.0.0.1

代理同样只绑定回环地址；用 curl 的显式代理参数访问本地源站并比较请求行。

curl --proxy http://127.0.0.1:8080 http://127.0.0.1:8000/

若观察自有 HTTPS，创建专用测试配置和浏览器档案；完成后删除 CA，不安装到日常系统或移动设备。

记录客户端→代理、代理→源站两段连接的地址、解析方、TLS 终止点和超时责任。

客户端：
代理监听：127.0.0.1:____
源站：127.0.0.1:____
DNS 解析方：
TLS 终止点：
两段超时：

使用详细输出观察“连到谁、是否 CONNECT、证书主机名、响应状态”，分享日志前删除 Cookie 与 Authorization。

curl --verbose --proxy http://127.0.0.1:8080 http://127.0.0.1:8000/

核对 HTTP_PROXY/HTTPS_PROXY/ALL_PROXY/NO_PROXY 大小写、应用内设置、容器配置和系统服务环境。

确认这是代理认证而非源站 401；检查凭据来源、认证方案和日志脱敏，禁止把密码直接写进 URL 或命令历史。

检查证书由谁签发、SAN 是否匹配、客户端使用哪个信任库，以及 TLS 在代理还是源站终止。

程序可能忽略系统代理、固定 DNS、证书钉扎或使用不同信任库；先查官方代理配置而不是强行透明截获。

监听回环或受控管理网，启用认证与访问控制；不得为陌生人提供匿名转发或大规模出口。

TLS 解密仅限自有测试客户端和服务；不安装隐蔽根证书，不获取凭据，不绕过证书钉扎或组织检测。

默认不记录正文与敏感头，令牌/个人信息脱敏，限制保留期和访问者；调试文件完成后安全删除。

画出直连、HTTP 正向、CONNECT、SOCKS5 和反向代理的连接与 DNS/TLS 位置。

对 localhost 源站生成三类请求，提交脱敏日志并解释每段连接。

在本地制造端口错误、NO_PROXY 误配、过期测试证书和超时，写分层排错记录。

为开发反向代理写监听、认证、TLS、日志、限流、健康检查和回滚方案。