mod_proxy_connect仅允许connect到硬编码白名单端口（默认443/563），拒绝8443等非标端口，因安全设计不可配置绕过；替代方案是用mod_proxy_http反向代理+sslproxyengine on实现https服务访问。
Apache 的 mod_proxy_connect 模块确实支持 HTTPS 隧道代理，但它只允许 CONNECT 请求连接到硬编码白名单内的端口（默认仅 443 和 563），无法直接用于访问 8443、8080 等非标准 HTTPS 端口。这不是配置问题，而是模块设计层面的安全限制。
mod_proxy_connect 的核心限制
该模块专为标准 HTTPS 隧道设计，其 proxy_connect_handler() 函数会在请求处理早期强制校验目标端口是否在内置白名单中。一旦客户端发起类似 CONNECT example.com:8443 HTTP/1.1 的请求，Apache 就会立即返回 403 Forbidden，日志中显示：
这个检查发生在任何 Proxy 指令（如 <proxy></proxy> 或 AllowCONNECT）生效之前，因此无法通过配置绕过。
- 白名单由 C 源码中的
connect_ports[]数组硬编码，修改需重新编译 Apache（不推荐生产环境） -
AllowCONNECT指令只能在白名单已有端口范围内进一步收紧权限，不能扩展白名单本身 - 启用
ProxyRequests On是使用mod_proxy_connect的必要前提，mod_proxy_http不处理 CONNECT 方法
为什么不允许任意端口的 CONNECT
开放任意端口的 CONNECT 会让 Apache 变成通用 TCP 隧道服务器，等同于一个未认证的 SOCKS5 代理。这带来严重安全风险：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 攻击者可借此扫描内网服务（如数据库、管理后台）
- 转发 SSH、RDP 等敏感协议流量
- 建立隐蔽 C2（Command & Control）通信通道
Apache 官方明确将此视为高危行为，因此选择以牺牲灵活性换取安全性。
真正可行的替代方案
如果你的目标是让客户端通过 Apache 访问后端 HTTPS 服务（例如 https://api.example.com:8443），应放弃隧道模式，改用 mod_proxy_http 反向代理 + TLS 终止方式：
- 启用
SSLProxyEngine on（否则会报错 “SSLProxyEngine not enabled”） - 用
ProxyPass /api https://api.example.com:8443/api/代替 CONNECT - 根据需要关闭证书校验：
SSLProxyVerify none、SSLProxyCheckPeerName Off - 确保加载了
mod_proxy、mod_proxy_http、mod_ssl模块
其他适用场景的模块选择
不同后端协议应匹配对应模块，避免误用 mod_proxy_connect：
- HTTP/HTTPS API 接口：用
mod_proxy_http（最常用，支持完整请求重写与 TLS 终止） - Tomcat AJP 连接：用
mod_proxy_ajp（需 Tomcat 启用 AJP connector） - WebSocket 流量：用
mod_proxy_wstunnel（自动处理 Upgrade 协议切换） - 纯 TCP 隧道需求：考虑
tinyproxy或3proxy等专用工具，而非 Apache
