nginx 或者 squid 以代理的身份监听 ssl 流量的可行性？

大概思路：
一个wifi，由我来配置。分配IP自然是走dhcp。
dhcp 有分配 proxy 的配置项，可以配置 proxy_ip:port 给 dhcp client
分配好 proxy 下去给用户，用户（以 ios 为例）的系统流量都会走 proxy

proxy 上的 http 服务很好配， google 一大把，关键是 https 。
https 的配置，我找到了这个： http://shevacjs.com/2015/04/25/nginx-https-proxy/
但是我不甘心啊，因为这么一来，就真的只是个代理而已，监听如何实现？

我设想的模型如下：
目标服务器，以工行网银为例，简称 V 主机
流量都走 proxy 的用户，简称 S
可以 ssh 上去配置的 proxy 主机，简称 T
proxy 主机与用户有完整的证书信任关系，也就是说用户装了 proxy 所在机构相关的根证书。

客户挂代理，发请求访问工行网银（ V ）， proxy 拿到请求之后得到请求明文，然后 proxy 以客户端的身份（可以理解为一个浏览器）向实际的工行网银（ V ）发起请求。
V 返回请求结果，理论上说，因为 proxy （ T ）是以客户端的身份访问 V ，所以 proxy （ T ）可以拿到返回结果的明文。
T 用自己的证书对返回的内容加密，然后返回给原始用户（ S ，发起这个请求的人）。

-----------------------------------------------------------------

无所谓部署 nginx 还是 squid ，个人倾向 n 。 proxy 也就是 T ，相当于一个二次封装（加密）的角色。
请问各位，这个监听能否做到？
或者说，如果思路有问题，能否用其他方式实现？反正证书问题我可以想别的方法搞定。

nixilin

2015-11-10 20:29:48 +08:00

@xjdrew
@kxjhlele
这个问题主要是想从代理的层面搞定监听问题。确切的说也就是代理服务器的配置问题。
其实就是想， proxy 在收到下面连过来的代理请求时，把整个请求记录下来（各种猥琐姿势），自己重发一次；收到对方网站的回复时，在 proxy 上就拿到回复的明文（各种猥琐姿势，看点啥改点啥），然后用 proxy 自己的证书加密丢给客户端。
哪怕客户端看到的证书是 proxy 的（明显）也没关系，先配置好 proxy 再说。现在的难点就是 proxy 的配置。

msg7086

2015-11-10 22:39:18 +08:00

> proxy 主机与用户有完整的证书信任关系，也就是说用户装了 proxy 所在机构相关的根证书。

这个是最难的。你要么得获得用户电脑的管理员权限，要么得攻占下某个 CA 。
前者可能某个数字或者企鹅勉强能做到。
后者明显是想搞个大新闻。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://www.v2ex.com/t/235143