Как HTTP-прокси могут обнаруживать HTTP-пакеты?

Question

Я знаю теорию о прокси, каковы они и их цели.

Иногда HTTP(s) прокси используются внутри компании для фильтрации исходящей сети, например, для предотвращения чего-либо, кроме HTTP/HTTP. Я знаю человека внутри такой компании, и он не может даже использовать SSH на любом порту. С другой стороны, все порты кажутся открытыми, если он использует их для HTTP или HTTP(или просто для TLS, я не знаю).

Теоретически, если я посмотрю на модель OSI, все, что идет после уровня сеанса, зашифровано. Таким образом, единственная важная вещь, которую прокси-сервер может видеть, когда пользователь просматривает сайт HTTP, - это IP, порт и, возможно, доменное имя в определенных случаях, верно?

Это может быть очень глупо, но я не могу найти ответ на этот вопрос:

Как прокси-сервер HTTP может обнаружить пакет как HTTP (а не только TLS), если что-либо после шифрования заголовка TLS?

Я пытался прослушать мою локальную сеть, чтобы найти подсказку, но я не увидел упоминания о протоколе приложения на сеансовом или транспортном уровнях.

Answer 1

Первый пакет внутри HTTP-соединения (HTTP-запрос) или HTTPS-соединения (TLS ClientHello) четко отличается от первого пакета в SSH. Шифрование HTTPS/TLS здесь не помогает, потому что вы можете обнаружить этот трафик по начальному рукопожатию, предшествующему шифрованию.

Но это не надежно. Например, Skype пытается различными способами пройти через брандмауэры, и один из них состоит в том, чтобы сделать свой трафик достаточно похожим на TLS, чтобы многие брандмауэры пропускали его, даже если Skype не говорит на реальном TLS.