CentOS7部署mitmproxy代理服务全流程指南

1. CentOS7环境下mitmproxy代理服务部署指南

在Linux服务器上搭建透明代理服务是网络调试和安全测试中的常见需求。作为一款基于Python开发的交互式HTTPS代理工具，mitmproxy凭借其强大的流量拦截和修改能力，成为众多开发者和安全研究人员的首选工具。本文将详细介绍在CentOS7系统上从零开始部署mitmproxy服务的完整流程，包括环境准备、依赖安装、服务配置等关键环节。

注意：本文操作需要root权限，所有命令均在CentOS7.9最小化安装环境下测试通过。不同小版本可能存在细微差异，建议先执行yum update更新系统。

1.1 基础环境准备

首先需要确保系统具备必要的运行环境。CentOS7默认搭载的Python2.7无法满足mitmproxy的运行要求，我们需要先配置Python3环境：

# 安装EPEL仓库和开发工具链 yum install -y epel-release yum groupinstall -y "Development Tools" yum install -y openssl-devel bzip2-devel libffi-devel # 编译安装Python3.8 cd /usr/src wget https://www.python.org/ftp/python/3.8.12/Python-3.8.12.tgz tar xzf Python-3.8.12.tgz cd Python-3.8.12 ./configure --enable-optimizations make altinstall

验证Python3安装是否成功：

python3.8 --version pip3.8 --version

1.2 mitmproxy安装与配置

通过pip安装mitmproxy及其依赖组件：

pip3.8 install --upgrade pip pip3.8 install mitmproxy

安装完成后，系统会添加三个可执行命令：

• mitmproxy：交互式终端界面
• mitmdump：命令行版本
• mitmweb：Web界面版本

首次运行需要生成CA证书：

mitmproxy --set confdir=/etc/mitmproxy

生成的证书文件会保存在/etc/mitmproxy目录下，包含：

• mitmproxy-ca.pem：CA证书
• mitmproxy-ca-cert.pem：PEM格式证书
• mitmproxy-ca-cert.cer：DER格式证书

2. 系统代理配置与优化

2.1 网络参数调整

为提升代理性能，需要调整内核网络参数：

echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf echo "net.core.somaxconn = 4096" >> /etc/sysctl.conf sysctl -p

配置防火墙放行代理端口（默认8080）：

firewall-cmd --permanent --add-port=8080/tcp firewall-cmd --reload

2.2 服务化部署

创建systemd服务文件/etc/systemd/system/mitmproxy.service：

[Unit] Description=mitmproxy proxy service After=network.target [Service] Type=simple User=root ExecStart=/usr/local/bin/mitmweb --web-host 0.0.0.0 --set confdir=/etc/mitmproxy Restart=always [Install] WantedBy=multi-user.target

启用并启动服务：

systemctl daemon-reload systemctl enable mitmproxy systemctl start mitmproxy

3. 客户端配置与证书管理

3.1 客户端证书安装

将CA证书分发到客户端设备：

• Windows：双击.cer文件导入"受信任的根证书颁发机构"
• Android：设置 → 安全 → 从存储设备安装证书
• iOS：通过Safari访问http://mitm.it安装证书

3.2 代理连接测试

在客户端配置代理服务器：

• 地址：CentOS服务器IP
• 端口：8080
• 类型：HTTP/HTTPS

验证代理是否生效：

curl --proxy http://服务器IP:8080 https://example.com

4. 高级配置与故障排查

4.1 自定义监听端口

启动时指定非默认端口：

mitmweb --listen-port 8888 --web-port 8081

4.2 常见问题解决

证书不受信任错误：

1. 确认客户端已正确安装CA证书
2. 检查系统时间是否准确
3. 重新生成证书：rm -rf /etc/mitmproxy/mitmproxy-ca*

连接被拒绝：

1. 检查防火墙设置：firewall-cmd --list-ports
2. 验证服务是否运行：netstat -tulnp | grep 8080
3. 查看服务日志：journalctl -u mitmproxy -f

性能优化建议：

• 对于高并发场景，添加--no-http2禁用HTTP/2
• 使用--mode transparent启用透明代理模式
• 通过--set stream_large_bodies=1m限制大文件缓存

5. 安全加固措施

5.1 访问控制配置

限制只允许特定IP访问代理：

firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="8080" accept'

5.2 日志管理

启用详细日志记录：

mitmweb --verbose --flow-detail 3

日志文件默认保存在~/.mitmproxy目录，可通过以下命令实时查看：

tail -f ~/.mitmproxy/mitmproxy.log

对于长期运行的代理服务，建议配置logrotate进行日志轮转。创建/etc/logrotate.d/mitmproxy文件：

/root/.mitmproxy/*.log { daily missingok rotate 30 compress delaycompress notifempty create 640 root root }

实际部署中发现，CentOS7的默认ulimit设置可能导致高并发场景下出现"Too many open files"错误。建议修改/etc/security/limits.conf文件：

* soft nofile 65535 * hard nofile 65535 root soft nofile 65535 root hard nofile 65535

需要重新登录才能使配置生效，可通过ulimit -n验证当前限制。对于已经运行的服务，可能需要重启才能应用新的限制设置。