如何搭建无法解密流量的反向HTTPS透传/隧道代理

1. 方案完全可行 #

你要搭建的是TCP层HTTPS透传代理（也叫TLS隧道反向代理），核心逻辑是代理仅转发TCP字节流，不解析/解密HTTPS流量，完全满足：

• 隐藏源服务器IP：客户端仅与VPS上的代理域名建立连接，源站IP不会暴露给客户端
• 端到端加密：客户端与源服务器直接完成TLS握手和加密通信，代理全程无法获取明文内容

2. 请求与响应环节的透传逻辑 #

• 请求环节：代理监听域名的443端口，收到客户端的TCP连接后，直接转发到源服务器的443端口，无需处理HTTPS内容，实现成本很低。
• 响应环节：你担心的"代理无法读取加密响应中的客户端IP"是误解——透传代理是双向转发TCP流，源服务器的响应会通过已建立的TCP隧道直接回传给客户端，代理不需要读取响应内容，也不需要知道客户端IP，只负责字节转发即可。

如果你的实际需求是源服务器需要获取客户端真实IP，可以通过PROXY协议解决：

• 配置代理（比如Nginx、HAProxy，或Node.js自定义代理）在转发TCP连接给源站时，先发送PROXY协议头，包含客户端的IP和端口
• 源服务器（Node.js应用或Web服务器）开启PROXY协议支持，即可从协议头中解析出客户端真实IP，同时保持HTTPS透传不解密。

3. Node.js生成加密请求（不实际发送）的实现 #

如果确实需要生成TLS加密的数据包但不发送到网络，可以利用Node.js的tls和net模块模拟本地TLS通信：

const tls = require('tls');
const net = require('net');
const fs = require('fs');

function generateEncryptedResponse() {
  // 加载源服务器的证书和私钥
  const serverOpts = {
    key: fs.readFileSync('./server-private-key.pem'),
    cert: fs.readFileSync('./server-cert.pem'),
  };

  // 创建一对本地互联的socket，模拟客户端-服务器通信链路
  const [clientSideSocket, serverSideSocket] = net.createConnectionPair();

  // 启动源服务器端的TLS服务
  const tlsServer = tls.createServer(serverOpts, (tlsConn) => {
    // 模拟源服务器发送HTTPS响应
    const httpResponse = 'HTTP/1.1 200 OK\r\nContent-Type: text/plain\r\nContent-Length: 12\r\n\r\nHello World!';
    tlsConn.write(httpResponse);
  });
  tlsServer.emit('connection', serverSideSocket);

  // 启动客户端端的TLS连接
  const tlsClient = tls.connect({
    socket: clientSideSocket,
    rejectUnauthorized: false, // 自签证书时关闭验证，实际用信任的CA
  });

  // 捕获加密后的响应数据
  clientSideSocket.on('data', (encryptedData) => {
    console.log('生成的加密响应字节流:', encryptedData);
    // 这里可以处理加密数据，无需发送到网络
    tlsClient.destroy();
    tlsServer.close();
  });
}

generateEncryptedResponse();

这个代码通过本地互联的socket模拟TCP链路，完成TLS握手并生成加密的响应数据，全程不会向外部网络发送数据。

内容的提问来源于stack exchange，提问作者nameshave