基于Go语言，如何通过HTTP代理隧道发送Client Hello？

在场景2中，你通过proxy.FromURL建立的只是经过HTTP代理隧道的裸TCP连接，并没有自动触发TLS握手流程——这就是为什么没有发送Client Hello的原因。场景1的tls.Dialer会在TCP连接建立后，自动完成TLS握手（包括发送Client Hello），但代理场景需要你手动在已建立的隧道连接上启动TLS握手。

具体实现步骤 #

1. 先通过代理建立到目标服务器的TCP隧道连接
2. 用tls.Client包装这个裸TCP连接，配置好TLS参数
3. 手动触发TLS握手（或通过首次读写自动触发）

代码示例 #

import (
    "crypto/tls"
    "net"
    "golang.org/x/net/proxy"
)

// 假设已定义常量 TCP_CONNECT_TIMEOUT、TCP_KEEPALIVE_TIMEOUT
// proxyURL 是你的HTTP代理地址，比如 "http://10.0.0.1:8080"
// targetAddr 是目标服务器地址，比如 "example.com:443"
// targetHost 是目标服务器域名，比如 "example.com"（用于TLS SNI验证）

// 步骤1：建立代理隧道连接
dialer, err := proxy.FromURL(proxyURL, &net.Dialer{
    Timeout:   TCP_CONNECT_TIMEOUT,
    KeepAlive: TCP_KEEPALIVE_TIMEOUT,
})
if err != nil {
    // 处理代理初始化错误
}
rawConn, err := dialer.Dial("tcp", targetAddr)
if err != nil {
    // 处理隧道建立错误
}

// 步骤2：配置TLS参数，注意必须指定ServerName（SNI）
tlsConfig := &tls.Config{
    ServerName: targetHost, // 关键：用于TLS服务器名称指示，必须与目标域名一致
    // 其他配置，比如RootCAs、InsecureSkipVerify（仅测试用）等，和场景1的配置一致
}

// 步骤3：包装连接并触发TLS握手
tlsConn := tls.Client(rawConn, tlsConfig)
// 手动触发握手，提前捕获错误
err = tlsConn.Handshake()
if err != nil {
    rawConn.Close() // 失败时关闭底层连接
    // 处理TLS握手错误
}

// 之后就可以使用tlsConn进行加密的读写操作了
// 例如：_, err := tlsConn.Write([]byte("GET / HTTP/1.1\r\nHost: example.com\r\n\r\n"))

关键说明 #

• ServerName必须设置：TLS握手时需要通过SNI告诉服务器要访问的域名，否则服务器可能无法返回正确的证书，导致握手失败。
• 手动调用Handshake()：虽然首次调用tlsConn.Read()或Write()时会自动触发握手，但手动调用可以更早发现握手错误，避免后续读写时才暴露问题。
• 错误处理：任何步骤出错都要及时关闭底层连接，避免资源泄漏。

内容的提问来源于stack exchange，提问作者Jerry YY Rain