mod_proxy_connect是Apache唯一支持HTTPS隧道代理（CONNECT方法）的官方模块，但默认禁用且仅允许连接443、563等白名单端口；需手动启用模块、设置ProxyRequests On、用AllowCONNECT显式放行端口，并严格限制客户端IP以防止沦为开放代理。
Apache 本身不直接支持 HTTPS 隧道代理（即 CONNECT 方法）的透明转发，mod_proxy_connect 是唯一能启用该能力的官方模块，但它默认被禁用且有严格限制——仅允许转发到特定端口（如 443、563、8080），且必须显式配置允许目标主机或网段。简单说：它不是通用 HTTPS 代理，而是受控的隧道中继工具。
启用 mod_proxy_connect 并配置基础隧道能力
该模块不随 mod_proxy 自动加载，需手动启用：
- 在 Apache 配置中添加
LoadModule proxy_connect_module modules/mod_proxy_connect.so - 确保
mod_proxy已启用（LoadModule proxy_module modules/mod_proxy.so） -
必须禁用 ProxyRequests off（防止开放代理风险），隧道功能与正向代理无关，靠
ProxyRemote或ProxyPass不生效，只响应客户端发来的 CONNECT 请求
配置可连接的目标端口与主机白名单
mod_proxy_connect 默认只允许连接到 443（HTTPS）、563（SNEWS）、8080 等少数端口。如需扩展，需在配置中明确声明：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 使用
AllowCONNECT port [port] ...指令放开端口，例如：AllowCONNECT 443 8443 9443 - 若需限制只能访问特定域名（如只许连 api.example.com），需配合
ProxyBlock或自定义mod_rewrite规则拦截非法 Host 头；mod_proxy_connect本身不解析 CONNECT 请求中的域名，只看目标 IP:Port，因此真实域名控制需额外手段（如用RewriteCond %{REQUEST_METHOD} =CONNECT+RewriteRule拦截）
部署示例：内网开发机通过 Apache 隧道访问测试环境 HTTPS 服务
场景：开发机无法直连 10.20.30.40:8443，但可访问前端 Apache（192.168.1.100），希望用 curl -x http://192.168.1.100:8080 https://10.20.30.40:8443/ 测试。
- Apache 配置片段：
Listen 8080
<VirtualHost *:8080>
ProxyRequests On
AllowCONNECT 8443
# 仅允许可信内网段发起 CONNECT
<Proxy *>
Require ip 192.168.1.0/24
</Proxy>
</VirtualHost>
- 注意：
ProxyRequests On是必需的（开启正向代理模式以接收 CONNECT），但必须配合Require ip严格限制来源，否则极易沦为公开代理 - 客户端需将 HTTP 代理设为
http://192.168.1.100:8080（不是 https://），所有 CONNECT 请求经此中转
安全提醒与常见失败原因
该配置本质是降低网络隔离强度，务必审慎使用：
- Apache 日志中 CONNECT 请求只记录目标 IP:Port，不记录原始 URL 或 SNI 域名，审计能力弱
- 若后端服务器启用客户端证书校验，Apache 不参与 TLS 握手，证书链由客户端与后端直接协商，Apache 仅透传字节流
- 典型报错 “403 Forbidden” 多因
AllowCONNECT未包含目标端口，或Require规则拒绝了客户端 IP - “500 Internal Error” 可能源于模块未正确加载，或 Apache 版本过低（建议 2.4.12+）
