Privoxy: lọc HTTP theo URL, forward qua proxy và giới hạn HTTPS

Privoxy là proxy lọc nội dung chạy trên máy anh em: nó chặn quảng cáo, sửa chữ trong trang HTTP và chuyển tiếp yêu cầu tới proxy cấp trên khi cần. ProxyVN đọc hướng dẫn chính thức 4.2.0 và viết lại cách đặt luật theo URL. Bài tách rõ phần lọc HTTP với phần giải mã HTTPS.

Privoxy là gì và khác proxy IP mua ngoài

Hướng dẫn sử dụng chính thức mô tả Privoxy là web proxy không lưu bộ nhớ đệm, có khả năng lọc nâng cao. Mục đích gồm tăng riêng tư, sửa dữ liệu trang và header HTTP, kiểm soát truy cập, gỡ quảng cáo. Giấy phép GPL, dự án do Privoxy Developers duy trì và nằm trong Software in the Public Interest.

Điều đó có nghĩa là Privoxy làm việc với nội dung yêu cầu và phản hồi, không phải với địa chỉ IP. Nó không cấp IP nào cho anh em. Website thấy IP của máy chạy Privoxy, hoặc IP của proxy cấp trên nếu anh em đặt chuỗi forward.

Địa chỉ mặc định và ý nghĩa

Theo tài liệu, Privoxy mặc định nghe ở 127.0.0.1 cổng 8118, phù hợp người dùng cá nhân chạy cùng máy với trình duyệt. Nếu muốn phục vụ máy khác trong mạng, anh em phải đổi tùy chọn listen-address. Việc đổi đó mở cửa cho cả mạng nội bộ, nên cần thêm luật kiểm soát truy cập, mình bàn ở phần sau.

Privoxy không có đăng nhập cho client

Một chi tiết hay bị bỏ qua: tài liệu nói thẳng rằng Privoxy tự nó không hỗ trợ xác thực proxy. Nó chỉ cho phép client xác thực với proxy cấp trên của Privoxy. Vì vậy khác với Tinyproxy có BasicAuth, Privoxy bảo vệ cổng bằng địa chỉ nghe và danh sách cho phép theo địa chỉ IP.

Hai việc Privoxy làm tốt và một việc nó không làm

Hai việc đầu là lọc và forward. Lọc gồm chặn một yêu cầu, sửa header, sửa nội dung trang. Forward gồm chuyển tiếp qua proxy HTTP hoặc SOCKS khác. Việc thứ ba nó không làm theo mặc định là đọc nội dung HTTPS. Chênh lệch này là trọng tâm của bài.

Dùng Privoxy làm filtering proxy với luật theo URL và forwarding

Cấu hình của Privoxy tách thành ba loại tệp, mô tả trong chương cấu hình chính của hướng dẫn. Tệp cấu hình chính chứa các tùy chọn toàn cục như địa chỉ nghe và danh sách cho phép. Tệp actions chứa các hành động áp dụng cho từng địa chỉ. Tệp filter chứa các biểu thức thay thế dùng cho hành động lọc.

Tệp actions: khớp địa chỉ rồi gắn hành động

Tệp cấu hình, actions và filter

Chương tệp actions cho biết tùy chọn actionsfile nên khai nhiều dòng. Bộ mặc định gồm match-all.action áp dụng cho mọi trang, default.action do nhà phát triển duy trì, và user.action để anh em thêm luật riêng. Nếu không có actionsfile nào, Privoxy chỉ làm proxy trung tính.

Mỗi mục trong tệp actions có hai phần: dòng hành động trong ngoặc nhọn và các mẫu địa chỉ bên dưới. Mẫu gồm phần máy chủ và phần đường dẫn.

Phần máy chủ cho phép đặt dấu chấm ở đầu hoặc cuối để bỏ neo. Mẫu .example.com khớp example.com, www.example.com và mọi tên miền con. Phần máy chủ còn hỗ trợ ký tự đại diện kiểu shell như dấu sao và dấu hỏi. Phần đường dẫn dùng biểu thức chính quy kiểu POSIX.

Hành động block

Theo tài liệu, hành động block chặn yêu cầu, không bao giờ tải URL đó, và trả một trang thay thế do Privoxy dựng. Tham số là lý do chặn hiển thị cho người dùng. Ví dụ trong tài liệu có dạng {+block{No nasty stuff for you.}} theo sau là một mẫu địa chỉ.

Block có thể kết hợp với handle-as-image để thay bằng ảnh, hoặc handle-as-empty-document để trả tài liệu rỗng. Khi một trang gọi quảng cáo dưới dạng ảnh, trả ảnh thay thế sẽ làm bố cục ít vỡ hơn trang lỗi.

Còn một tùy chọn đáng biết: enforce-blocks. Mặc định, trang chặn có liên kết cho người dùng vượt qua. Nếu anh em dùng Privoxy để áp chính sách mạng, bật enforce-blocks sẽ giấu liên kết này và ghi nhật ký mọi nỗ lực lách.

Thứ tự nạp tệp và luật nào thắng

Các tệp actions được nạp theo thứ tự khai báo, và hành động ở tệp sau có thể ghi đè tệp trước. Tài liệu ghi chú match-all.action là nơi đặt những hành động áp dụng cho mọi trang và có thể bị ghi đè về sau. Vì vậy user.action nên đứng cuối trong danh sách actionsfile để luật riêng của anh em thắng luật mặc định.

Trong trường hợp nhiều mẫu cùng khớp một địa chỉ, các hành động của mọi mục khớp được cộng dồn theo thứ tự. Khi hai mục xung đột, mục xuất hiện sau thắng. Mình khuyên thêm luật mới ở cuối user.action và kiểm tra lại bằng trang show-url-info của Privoxy.

Tra xem luật nào đang áp dụng cho một địa chỉ

Trang tài liệu về tệp actions chỉ dẫn mở http://config.privoxy.org/show-url-info khi trình duyệt đã đặt dùng Privoxy. Trang này cho thấy từng mục khớp với một URL cụ thể và hành động cuối cùng được gộp ra. Đây là công cụ nên mở đầu tiên khi một luật không có tác dụng như mong đợi.

Ngoài việc debug, trang này còn giúp phát hiện luật nào của bộ default.action đang cộng dồn vào luật của anh em mà mình không ngờ tới.

Các hành động riêng tư hay dùng cùng filter

Ngoài block và filter, Privoxy có nhóm hành động làm việc trên header của yêu cầu. Hide-referrer xóa hoặc giả header Referer, với các tham số như block hay forge. Hide-user-agent đổi chuỗi User-Agent. Các hành động này sửa header, không đổi địa chỉ IP, nên đừng kỳ vọng chúng giúp trang đích không nhận ra anh em.

Dù vậy chúng hữu ích khi anh em muốn giảm lượng thông tin rò rỉ qua header trong lưu lượng HTTP thường. Trong HTTPS thông thường, header nằm trong đường hầm mã hóa nên Privoxy không đụng tới được.

Hành động filter và tệp filter

Hành động filter nhận tên một bộ lọc được định nghĩa trong tệp filter. Theo chương tệp filter, mỗi bộ lọc bắt đầu bằng dòng FILTER: tên mô tả, theo sau là các lệnh thay thế dạng s/mẫu/thay/tùy chọn. Tùy chọn g nghĩa là thay toàn bộ, i là không phân biệt hoa thường, s cho phép khớp qua nhiều dòng.

Tài liệu nêu một số điểm cần nhớ khi lọc nội dung. Privoxy phải đệm toàn bộ thân trang trước khi lọc, nên trang hiện chậm hơn một chút. Lượng dữ liệu lọc tối đa bị giới hạn bởi buffer-limit, mặc định 4096 KB. Vượt ngưỡng, phần đã đệm và mọi dữ liệu còn lại được chuyển đi không lọc.

Văn bản thuần (text/plain) không được lọc. Nội dung nén chỉ lọc được nếu Privoxy dựng kèm zlib; nếu không, cần kết hợp hành động prevent-compression. Còn dữ liệu mã hóa từ máy chủ HTTPS, tài liệu viết rằng không thể lọc, vì làm vậy phá vỡ tính toàn vẹn của giao dịch bảo mật. Đây là điểm dẫn sang phần HTTPS bên dưới.

Forward: chuyển tiếp qua proxy cấp trên

Tùy chọn forward chuyển yêu cầu khớp mẫu tới một proxy HTTP cấp trên. Dạng viết là forward mẫu máy:cổng, và dấu chấm nghĩa là không chuyển tiếp. Nhiều dòng được phép, kiểm tra theo thứ tự, và dòng khớp cuối cùng thắng.

Ví dụ trong tài liệu: chuyển mọi thứ tới proxy cấp trên, trừ cổng 443 cho đi thẳng. Dòng đầu forward / parent-proxy.example.org:8080, dòng sau forward :443 . với dấu chấm cuối.

Với SOCKS có bốn tùy chọn: forward-socks4, forward-socks4a, forward-socks5 và forward-socks5t. Khác biệt chính nằm ở chỗ phân giải tên miền. Với SOCKS4, máy chạy Privoxy tự phân giải. Với SOCKS4A và SOCKS5, việc phân giải diễn ra ở phía máy chủ SOCKS. Bản forward-socks5t thêm phần mở rộng riêng của Tor.

Đăng nhập vào proxy cấp trên

Điểm có ý nghĩa nhất khi dùng proxy mua ngoài: forward-socks5 nhận tài khoản và mật khẩu ngay trong dòng cấu hình, dạng user:pass@máy:cổng. Ví dụ trong tài liệu là forward-socks5 / user:[email protected]:1080 . với dấu chấm cuối nghĩa là không dùng thêm proxy HTTP phía sau.

Với proxy cấp trên kiểu HTTP, dòng forward trong tài liệu không có chỗ cho tài khoản. Tài liệu chỉ nói về tùy chọn enable-proxy-authentication-forwarding, mặc định 0. Khi bật, Privoxy cho các header Proxy-Authorization từ client đi tiếp tới proxy cấp trên. Tài liệu không khuyến khích bật nếu mạng giữa Privoxy và proxy cấp trên không đáng tin.

Vì thế mình chọn SOCKS5 khi muốn Privoxy tự đăng nhập vào proxy mua ngoài. Anh em có thể xem cách dùng giao thức này ở bài cách dùng SOCKS5 proxy, và cách xử lý chuỗi nhiều chặng ở bài chuỗi proxy.

Đổi forward theo từng trang

Hành động forward-override cho phép đổi cách chuyển tiếp theo từng mẫu địa chỉ, ghi đè các dòng forward trong tệp cấu hình chính. Giá trị có thể là forward . để đi thẳng, hoặc forward-socks5 kèm địa chỉ. Anh em dùng nó khi chỉ một vài trang cần đi qua proxy riêng.

Chuẩn bị topology lab, phiên bản và máy thử cho Privoxy

Mình chưa chạy Privoxy trên máy viết bài. Vì vậy mọi cấu hình bên dưới bám theo hướng dẫn sử dụng chính thức và chưa có kết quả chạy.

Ba thành phần của lab

• Privoxy nghe 127.0.0.1:8118.
• Proxy cấp trên: một proxy SOCKS5 có tài khoản. Mình đã có proxy giả viết bằng Python cho bài khác, anh em có thể dùng proxy thật mua ngoài.
• Trang đích là một máy chủ HTTP nhỏ trên máy, có hai tên: một tên bình thường và một tên giả làm máy quảng cáo.

Bản và cách xác định tính năng

Hướng dẫn sử dụng mà mình đọc là bản 4.2.0. Một số tính năng, như kiểm soát từ trình duyệt và HTTPS inspection, chỉ có khi Privoxy được dựng với tùy chọn tương ứng. Tài liệu chỉ dẫn mở địa chỉ config.privoxy.org/show-status khi đã đặt trình duyệt dùng Privoxy để xem bản đang chạy hỗ trợ gì.

Hãy làm bước đó trước khi tin vào các ví dụ. Bản đóng gói trong hệ điều hành có thể thiếu tính năng mà hướng dẫn mô tả.

Chạy thử từ máy nào

Vì Privoxy không có đăng nhập, mình thử từ chính máy chạy Privoxy trước. Nếu muốn thử ca bị chặn theo địa chỉ, cần thêm một máy khác trong mạng nội bộ có địa chỉ không nằm trong danh sách cho phép.

Cấu hình tối thiểu cho Privoxy và các tuyến cần kiểm tra

Cấu hình dưới đây gồm một luật chặn, một bộ lọc và một đường chuyển tiếp qua proxy cấp trên. Mình viết để chạy trên Linux, vì tài liệu dùng đường dẫn kiểu Unix, và trên Windows anh em đổi đường dẫn tương ứng.

# config (tệp cấu hình chính, bản lab, chưa chạy thật)
listen-address  127.0.0.1:8118
actionsfile match-all.action
actionsfile default.action
actionsfile user.action
filterfile default.filter
filterfile user.filter
permit-access   127.0.0.1
forward-socks5  /  tai-khoan:mat-khau@127.0.0.1:8903  .

# user.action
{+block{Quang cao thu nghiem}}
ads.example.test/
 
{+filter{an-so-dien-thoai}}
.example.test/

# user.filter
FILTER: an-so-dien-thoai An so dien thoai di dong 10 chu so
s/\b0\d{9}\b/[so da an]/g

Đọc từng khối

Khối thứ nhất đặt Privoxy nghe ở localhost, nạp ba tệp actions và hai tệp filter, cho phép đúng địa chỉ 127.0.0.1 và chuyển mọi yêu cầu qua SOCKS5 có tài khoản. Địa chỉ 127.0.0.1:8903 là cổng proxy giả của mình, anh em thay bằng proxy thật.

Khối thứ hai gồm hai mục. Mục đầu chặn mọi đường dẫn trên máy ads.example.test. Mục sau gắn bộ lọc an-so-dien-thoai cho mọi trang thuộc .example.test. Khi anh em gõ hai mục sát nhau, nhớ để dòng trống giữa chúng.

Khối thứ ba định nghĩa bộ lọc: tìm chuỗi 10 chữ số bắt đầu bằng 0 đứng riêng thành một từ và thay bằng chú thích. Mục đích là che số điện thoại di động trong trang HTTP thử nghiệm. Mình chọn ví dụ này vì dễ nhìn thấy kết quả, không vì khuyến khích sửa trang của người khác.

Ghi chú về forward và DNS

Dòng forward-socks5 dùng chế độ SOCKS5 phân giải tên ở phía proxy. Nghĩa là Privoxy gửi nguyên tên miền cho proxy cấp trên, không tự tra DNS. Trong lab, tên .example.test chỉ phân giải được ở phía proxy giả, nên nếu anh em đổi sang SOCKS4 phân giải cục bộ, tên sẽ không tìm được.

Chạy ca đúng sai và đọc log Privoxy

Bảy ca thử và kỳ vọng theo tài liệu

Bảng ca thử dưới đây là kỳ vọng từ tài liệu. Cột cuối nói rõ mình chưa chạy ca nào.

Bảng: Chạy ca đúng sai và đọc log Privoxy

Ca thử	Kỳ vọng theo tài liệu	Đã chạy trên Privoxy
Mở http://ads.example.test:8901/ qua Privoxy	Trang chặn của Privoxy, kèm lý do đã khai	Chưa
Mở trang thường trên example.test	Trang hiện, số điện thoại 10 chữ số bị thay	Chưa
Mở trang thường nhưng tắt hành động filter	Số điện thoại còn nguyên	Chưa
Mở trang qua Privoxy, nhìn IP phía đích	IP của proxy cấp trên	Chưa
Mở https://example.test qua Privoxy	Truy cập qua, nội dung không bị sửa	Chưa
Máy ngoài danh sách permit-access	Privoxy từ chối	Chưa
Bật toggle off trong khi thử	Privoxy trở thành proxy trung tính	Chưa

Trước và sau khi bật luật

Mỗi ca nên chạy hai lần: một lần với luật chưa bật và một lần với luật đã bật. Cách đơn giản nhất là thử trước khi sửa user.action, rồi sửa, rồi thử lại. Sự khác biệt giữa hai lần chính là bằng chứng luật có tác dụng.

Với client, anh em dùng trình duyệt đặt proxy 127.0.0.1:8118, hoặc dùng công cụ dòng lệnh hỗ trợ proxy HTTP. Mình tránh nêu lệnh cụ thể vì chưa kiểm chứng đầu ra.

Xem nhật ký

Tệp nhật ký đặt bằng logfile trong thư mục logdir. Tài liệu có tùy chọn debug với các mức độ thông tin khác nhau. Mình khuyên bật mức ghi từng yêu cầu khi thử, rồi tắt khi dùng thật, vì nhật ký chi tiết ghi lại địa chỉ người dùng đã mở.

Điều cần tìm trong log là hai thứ. Thứ nhất, dòng cho biết một yêu cầu bị chặn theo luật nào. Thứ hai, dòng cho biết yêu cầu đi thẳng hay qua proxy cấp trên. Mình chưa thấy định dạng log thật nên không mô tả, anh em tự dán vài dòng mẫu vào ghi chú lab sau khi chạy.

Phần HTTPS: dự đoán và cách kiểm

Ca thứ năm trong bảng là ca quan trọng nhất. Khi trình duyệt mở một địa chỉ HTTPS qua Privoxy, nó gửi lệnh CONNECT chỉ có tên máy và cổng. Đường dẫn chưa tồn tại ở thời điểm đó. Vì vậy một luật chặn theo đường dẫn không thể áp dụng cho trang HTTPS. Luật chặn theo tên máy thì vẫn áp dụng được, vì tên máy có sẵn trong lệnh CONNECT.

Mình suy ra điều này từ tài liệu về hành động https-inspection, trong đó nói hành động phải bật dựa trên yêu cầu CONNECT vì yêu cầu này không có đường dẫn. Anh em nên tự kiểm: tạo luật chặn theo đường dẫn và thử trên một trang HTTPS, kết quả phải là luật không có tác dụng.

Lọc HTTP khác giải mã TLS thế nào trong Privoxy

HTTP lọc được, HTTPS chỉ thấy tên máy

Phần này giải thích ranh giới mà tên bài nêu.

Khi không có HTTPS inspection

Với yêu cầu CONNECT và không bật hành động https-inspection, tài liệu nói Privoxy chuyển lưu lượng đi mà không thấy nội dung đã giải mã. Hành động limit-connect mô tả điều này khá thẳng: các website có thể lợi dụng giới hạn đó để lách bộ lọc của Privoxy.

Mặc định, nếu không có hành động limit-connect, Privoxy cho CONNECT tới mọi cổng. Muốn hạn chế, đặt limit-connect với danh sách cổng, ví dụ chỉ 443. Muốn cấm hẳn CONNECT, tài liệu chỉ ra cách đặt một khoảng cổng không hợp lệ, và ví dụ {,} nghĩa là không cho lưu lượng SSL nào.

Điểm này tương tự cảnh báo ConnectPort ở Tinyproxy: cho CONNECT mọi cổng là biến proxy thành ống TCP mở. Anh em nên giới hạn ngay từ đầu.

Khi bật HTTPS inspection

Tài liệu 4.2.0 có mục HTTPS Inspection. Tính năng này giải mã yêu cầu, lọc, rồi mã hóa lại gửi đi. Để chạy, Privoxy phải được dựng với FEATURE_HTTPS_INSPECTION, phải có thư mục CA (ca-directory) chứa khóa và chứng chỉ gốc, và client phải tin chứng chỉ gốc đó để chấp nhận chứng chỉ do Privoxy tạo ra cho từng website.

Tài liệu chỉ lệnh openssl để tạo chứng chỉ gốc: openssl req -new -x509 -extensions v3_ca -keyout cakey.pem -out cacert.crt -days 3650. Thư mục CA chỉ nên cho Privoxy và quản trị viên truy cập, vì khóa gốc mà lộ thì kẻ xấu có thể giả mạo mọi website với máy đã tin chứng chỉ.

Hành động bật là https-inspection, áp dụng bằng mẫu địa chỉ chỉ có tên máy. Ví dụ trong tài liệu: {+https-inspection} theo sau là www.example.com. Có thêm client-specific-tag, ví dụ no-https-inspection, để tắt tính năng cho từng client.

Cân nhắc trước khi bật

Giải mã TLS là việc nhạy cảm. Chỉ nên làm trên thiết bị của chính mình hoặc thiết bị mà người dùng đã được thông báo và đồng ý. Người dùng cần biết rằng Privoxy đọc được mật khẩu và nội dung họ gửi. Bài Man-in-the-middle nói về rủi ro từ phía kẻ tấn công, còn bài mitmproxy nói về công cụ kiểm tra HTTPS dùng đúng mục đích.

Mình chưa thử HTTPS inspection của Privoxy. Với mục đích đọc trang, đôi khi chỉ cần chặn theo tên máy mà không cần giải mã. Chỉ bật khi thật cần sửa nội dung bên trong HTTPS.

Lỗi chứng chỉ hay gặp

Nếu bật inspection mà client chưa tin chứng chỉ gốc, trình duyệt báo lỗi chứng chỉ. Triệu chứng này giống lỗi ở các công cụ giải mã khác. Anh em đọc bài ERR_PROXY_CERTIFICATE_INVALID để biết cách nhận diện và phân biệt với lỗi ở phía website.

Hoàn nguyên, giới hạn và đưa Privoxy vào dùng thật

Checklist trước khi dùng Privoxy thật

Hoàn nguyên lab

Dừng Privoxy, trả cấu hình về bản gốc, xóa luật thử trong user.action và bộ lọc trong user.filter. Bỏ cấu hình proxy trong trình duyệt hoặc hệ điều hành, vì cấu hình bỏ quên sẽ làm trình duyệt báo lỗi proxy từ chối kết nối khi Privoxy đã tắt. Nếu có chứng chỉ gốc đã nhập vào máy để thử inspection, gỡ ra.

Giới hạn cần biết

Privoxy đệm toàn bộ trang khi lọc, nên mỗi luật lọc làm trang tải chậm hơn. Giới hạn buffer-limit quyết định khi nào Privoxy bỏ cuộc và chuyển tiếp không lọc. Nên đặt luật lọc hẹp, chỉ gắn vào đúng địa chỉ cần.

Bộ lọc tự viết là biểu thức chính quy chạy trên toàn trang, nên viết sai có thể làm hỏng trang. Tài liệu cũng khuyên dùng bộ lọc cẩn thận và ưu tiên hành động có sẵn khi có.

Các tính năng điều khiển từ trình duyệt

Privoxy có giao diện web để bật tắt và sửa luật. Tài liệu đặt hai tùy chọn enable-remote-toggle và enable-edit-actions, mặc định đều 0, và cảnh báo rằng quyền truy cập các tính năng này không kiểm soát được bằng ACL riêng. Bất cứ ai tới được Privoxy đều đổi được cấu hình cho mọi người. Mình giữ nguyên mặc định, nhất là khi Privoxy phục vụ nhiều máy.

Kiểm soát truy cập

Nếu đã có dòng permit-access nào, Privoxy chỉ nói chuyện với địa chỉ khớp ít nhất một dòng permit-access và không khớp dòng deny-access đứng sau. Dòng khớp cuối cùng thắng và mặc định là từ chối. Tài liệu ghi chú một điểm tinh tế: khi Privoxy dùng forward cho một URL, địa chỉ đích được đối chiếu là địa chỉ proxy cấp trên chứ không phải máy đích cuối. Đừng cố dùng ACL để chặn website.

Danh sách kiểm tra trước khi dùng thật

• Mở config.privoxy.org/show-status để biết bản đang chạy hỗ trợ tính năng nào.
• listen-address đúng giao diện nội bộ, permit-access giới hạn theo dải cần.
• enable-remote-toggle và enable-edit-actions giữ mặc định 0.
• limit-connect đặt cho các mẫu cần, không để CONNECT tới mọi cổng.
• Tệp cấu hình có mật khẩu proxy cấp trên phải có quyền đọc chặt.
• Nhật ký chi tiết tắt khi chạy lâu dài.

Nếu cần proxy cấp trên, anh em có thể mua proxy tại ProxyVN, có proxy dân cư tĩnh Viettel, VNPT, FPT, datacenter Việt Nam và proxy xoay, hỗ trợ HTTP và SOCKS5 với tài khoản user và mật khẩu.

Privoxy sửa những gì nó đọc được. Nó đọc được HTTP, còn HTTPS thì không, trừ khi anh em cho phép.

Câu hỏi thường gặp

Privoxy có phải công cụ đổi IP không. Không. Privoxy lọc nội dung. Muốn đổi IP, anh em thêm proxy cấp trên bằng forward hoặc forward-socks5.

Privoxy có thay được trình chặn quảng cáo trong trình duyệt không. Cả hai làm việc ở tầng khác nhau. Privoxy hoạt động cho mọi ứng dụng dùng proxy HTTP, nhưng với HTTPS nó chỉ thấy tên máy trừ khi bật inspection. Tiện ích trình duyệt nhìn thấy trang sau khi đã giải mã.

Có cần Tor để dùng forward-socks5t không. Biến thể đó có thêm một phần mở rộng của Tor, hiện tại là gửi dữ liệu sớm để giảm độ trễ. Tài liệu dùng ví dụ trỏ tới Tor ở 127.0.0.1:9050. Với proxy SOCKS5 thường, dùng forward-socks5.

Privoxy có hỗ trợ proxy cấp trên HTTP có mật khẩu không. Dòng forward trong tài liệu không có chỗ cho tài khoản. Có enable-proxy-authentication-forwarding để chuyển tiếp header xác thực của client. Nếu cần Privoxy tự đăng nhập, dùng SOCKS5.

Privoxy nghe 0.0.0.0 có sao không. Có. Khi đó bất kỳ ai tới được cổng đều dùng được proxy, trừ khi permit-access chặn. Privoxy không có đăng nhập cho client, nên ACL là lớp duy nhất.

Vì sao luật block không có tác dụng với trang HTTPS khi dùng đường dẫn. Vì với HTTPS, Privoxy chỉ nhận lệnh CONNECT có tên máy và cổng, đường dẫn nằm trong đường hầm mã hóa. Luật theo tên máy vẫn dùng được, luật theo đường dẫn thì không, trừ khi bật https-inspection.

Luật filter có làm chậm trang không. Có, nhất là khi trang lớn và luật gắn rộng cho nhiều địa chỉ. Tài liệu giải thích Privoxy phải đệm toàn bộ nội dung trước khi lọc, nên trang chỉ hiện khi lọc xong. Tổng thời gian không đổi nhiều nhưng cảm giác chậm hơn.

Chạy Privoxy trên Windows được không. Tài liệu có mục cài đặt cho Windows. Mình chưa chạy nên không có kết quả.

Privoxy và những điều cần nhớ

Privoxy lọc HTTP bằng tệp actions với block và filter, chuyển tiếp bằng forward-socks5 có tài khoản, và chỉ thấy tên máy trong HTTPS trừ khi bật inspection với chứng chỉ gốc riêng. Không có đăng nhập client nên cần ACL. Cần proxy ổn định, liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam cho Privoxy.