https 数据包被 UPF 追加插值了，请问服务端怎么恢复该包通过 mac 检验？

[FONG2]

在 TLS 握手的 client hello 消息中插入私有扩展头，扩展头格式类似 server-name ，支持一个 extension 里封装多个扩展头数据列表，实现 HTTPS 的头增强数据携带。
在 extension 字段中定义指定 extension_type 名称，例如运营商使用的字段名为 17965 的扩展字段。

但是插值过之后会导致握手失败，客服端报 bad record mac 异常

求问，这个场景服务端要怎么处理才可以获得这个插值并不影响原有的 https 握手？
给个技术关键词 我搜索也行～ thx

[jiulang]

服务端的 tls 处理可能在代理层（如 nginx ），也可能直接到达应用层，但不管哪一层，都不好处理。所以不如在服务器的网络层处理和恢复 client hello 。

[winglight2016]

在代理那里再包一层 package ？

[julyclyde]

它要不报异常那才奇怪呢
你应该问这个所谓 upf 他们厂家提供的方案是怎样的

[FONG2]

@julyclyde 方案就是服务端进行处理，但是没有具体细节，意思就是他负责插值，其他不管，不过集团是有方案的，付费买。。

[FONG2]

@jiulang 插值之后的请求，在 nginx 没有任何响应日志浏览器就报错了

[jiulang]

@FONG2 得在 nginx 之前就把 client hello 包恢复回插值之前的

[FONG2]

@jiulang 没错，我就是问这个，该怎么搞，没有头绪

[jiulang]

linux 可以关注 eBPF ，windows 可以对于 windivert

[psly]

请问楼主解决问题了吗，怎么解决的？

[FONG2]

@psly 没解决。。。还在研究中