HTTPS通过HTTP正向代理时，客户端通常发送CONNECT example.com:443 HTTP/1.1，请求代理建立到目标主机和端口的TCP通道。代理回复成功后只转发字节，随后客户端才在隧道内进行TLS握手。因此CONNECT被拒绝和证书错误属于不同阶段。
CONNECT时间线
- 客户端解析并连接代理；
- 发送目标主机与端口；
- 代理执行认证和ACL；
- 代理解析目标并建立上游TCP；
- 代理返回隧道成功；
- 客户端在隧道内执行TLS或其他协议。
状态码通常说明什么
| 状态 | 常见含义 | 下一步 |
|---|---|---|
| 407 | 代理需要认证 | 检查Proxy-Authenticate与客户端支持 |
| 403 | ACL拒绝目标、端口、用户或时间 | 核对策略和审批范围 |
| 502 | 代理无法连接目标 | 检查代理侧DNS、路由与上游端口 |
| 504 | 上游连接或响应超时 | 查看连接阶段和目标状态 |
| 200后TLS失败 | 隧道已建，目标握手异常 | 检查SNI、CA、协议和证书 |
为什么代理只允许少数端口
CONNECT本质是通用TCP隧道。允许访问任意端口，会让用户借HTTP代理连接SMTP、数据库、远程桌面或内部管理服务。因此企业代理常只允许443等批准端口，并按目标类别进一步限制。
非443 HTTPS服务怎么办
业务确实使用8443等端口时，应提交目标、用途、负责人、数据类型和时限，由管理员添加精确ACL。不要把所有高位端口一次性放开。变更后从授权客户端验证，并建立到期复核。
域名ACL与IP ACL有何差异
域名可能解析到CDN多个IP并动态变化；只按IP放行维护成本高。只按客户端提供的域名也可能受到解析和验证风险。代理应解析目标、执行阻止私网/保留地址等策略，并防范DNS Rebinding和内部地址访问。
代理侧DNS为何与客户端不同
CONNECT请求包含域名时，通常由代理解析目标。客户端和代理使用不同DNS会得到不同地址，Split DNS环境尤其明显。日志应记录目标域名、代理解析结果和连接地址，但不要记录敏感URL路径——CONNECT本身通常看不到隧道内路径。
认证成功为何仍403
认证只确认用户身份，ACL还会基于用户组、来源网段、目标、端口和时间做授权。服务账号与个人账号可能权限不同。不要把403改成“跳过认证”，应查命中的拒绝规则。
CONNECT成功后TLS仍失败
隧道成功只代表代理到目标TCP可达。TLS阶段还需正确SNI、协议、证书链和系统时间。若代理进行受控TLS检查，客户端看到的是代理签发证书，这又是另一种架构。
基础隧道与TLS原理见HTTPS为什么需要代理隧道。
容量不足会出现什么
大量长连接会占用文件描述符、端口、内存和带宽。达到限制时可能排队、重置或返回5xx。应观察活跃隧道、连接建立时间、上游失败、每用户并发和高分位时长。
开放策略的安全清单
- 默认拒绝非批准端口；
- 限制来源网段和认证用户；
- 阻止回环、链路本地和不应访问的私网地址；
- 按目标域名、业务和期限开放；
- 记录审计但保护用户隐私；
- 设置连接、空闲和并发限制。
排查顺序
- 记录代理地址、目标主机与端口；
- 确认失败在认证、ACL还是上游连接；
- 检查代理侧DNS和实际目标IP；
- 核对用户、来源、端口与时间规则；
- 隧道成功后再测试TLS；
- 观察连接数、超时和容量；
- 按最小权限批准并记录变更。
结论
CONNECT被拒绝通常是代理在保护通用TCP隧道边界。按认证、ACL、DNS、上游连接和TLS五个阶段排查，既能快速定位403/407，也能避免为一个业务端口放开整个网络。
