1. 環(huán)境準備與依賴安裝在CentOS 7系統(tǒng)上部署mitmproxy前需要確?；A環(huán)境完備。我推薦使用Miniconda作為Python環(huán)境管理器它能有效解決多版本Python和依賴隔離的問題。以下是具體操作步驟1.1 系統(tǒng)基礎依賴安裝首先更新系統(tǒng)并安裝編譯工具鏈yum update -y yum groupinstall -y Development Tools yum install -y openssl-devel bzip2-devel libffi-devel這些基礎依賴包含了GCC編譯器、OpenSSL開發(fā)庫等必要組件。特別是libffi-devel它是mitmproxy核心依賴cryptography的編譯必需品。我曾經(jīng)在3臺不同配置的CentOS 7機器上測試缺少這些依賴會導致后續(xù)pip安裝失敗。1.2 Python環(huán)境配置建議使用Miniconda創(chuàng)建獨立環(huán)境wget https://repo.anaconda.com/miniconda/Miniconda3-latest-Linux-x86_64.sh bash Miniconda3-latest-Linux-x86_64.sh -b -p /opt/miniconda3 echo export PATH/opt/miniconda3/bin:$PATH /etc/profile source /etc/profile conda create -n mitm python3.8 -y conda activate mitm選擇Python 3.8版本是因為在實測中mitmproxy 9.x版本在此環(huán)境下表現(xiàn)最穩(wěn)定。太新的Python版本可能遇到依賴兼容性問題。2. mitmproxy核心安裝2.1 使用國內鏡像加速安裝激活conda環(huán)境后使用阿里云鏡像安裝pip install mitmproxy9.0.1 redis pymongo -i http://mirrors.aliyun.com/pypi/simple/ --trusted-host mirrors.aliyun.com這里明確指定mitmproxy版本是因為最新版可能存在未知兼容性問題9.0.1版本經(jīng)過長期生產(chǎn)驗證配套的addon開發(fā)接口穩(wěn)定重要提示若安裝過程中出現(xiàn)error: command gcc failed說明未正確安裝開發(fā)工具鏈需要返回1.1節(jié)補全依賴。2.2 安裝驗證與故障排查驗證安裝是否成功mitmproxy --version預期輸出應類似Mitmproxy: 9.0.1 Python: 3.8.18 OpenSSL: OpenSSL 1.1.1k FIPS 25 Mar 2021常見問題解決方案libffi缺失錯誤重新安裝libffi-devel后重建Python虛擬環(huán)境密碼學組件編譯失敗先單獨安裝pip install cryptography3.3.2證書驗證失敗臨時關閉SSL驗證pip install --trusted-host pypi.org --trusted-host files.pythonhosted.org3. 服務部署與配置3.1 工作目錄結構規(guī)劃建議采用以下目錄結構/home/work/ ├── job/ │ └── nlp/ │ └── mitp/ │ ├── mitm.py # 主腳本 │ ├── config/ # 配置文件 │ └── logs/ # 日志目錄創(chuàng)建目錄并設置權限mkdir -p /home/work/job/nlp/mitp/{config,logs} chown -R nobody:nobody /home/work/job/nlp/mitp chmod 755 /home/work/job/nlp/mitp3.2 代理服務啟動測試典型啟動命令/opt/miniconda3/envs/mitm/bin/python \ /opt/miniconda3/envs/mitm/bin/mitmdump \ -s /home/work/job/nlp/mitp/mitm.py \ --ssl-insecure \ --set block_globalfalse \ --listen-port 8080 \ --mode transparent \ /home/work/job/nlp/mitp/logs/mitm.log 21 參數(shù)說明--ssl-insecure允許自簽名證書--set block_globalfalse允許全局流量--mode transparent透明代理模式日志重定向便于問題排查4. 系統(tǒng)服務集成4.1 systemd服務單元配置創(chuàng)建服務文件/etc/systemd/system/mitmproxy.service[Unit] Descriptionmitmproxy transparent proxy Afternetwork.target [Service] Usernobody Groupnobody EnvironmentPATH/opt/miniconda3/envs/mitm/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin ExecStart/opt/miniconda3/envs/mitm/bin/mitmdump \ -s /home/work/job/nlp/mitp/mitm.py \ --ssl-insecure \ --set block_globalfalse \ --listen-port 8080 \ --mode transparent Restartalways RestartSec5 WorkingDirectory/home/work/job/nlp/mitp StandardOutputjournal StandardErrorjournal [Install] WantedBymulti-user.target關鍵配置要點使用nobody用戶運行降低權限風險設置完整PATH包含conda環(huán)境路徑配置自動重啟保障服務可用性日志輸出到systemd journal便于集中管理4.2 服務管理命令啟用并啟動服務systemctl daemon-reload systemctl enable --now mitmproxy systemctl status mitmproxy驗證服務健康狀態(tài)journalctl -u mitmproxy -f -n 505. 安全加固與優(yōu)化5.1 防火墻規(guī)則配置允許代理端口通信firewall-cmd --permanent --add-port8080/tcp firewall-cmd --reload5.2 性能調優(yōu)建議連接數(shù)限制在mitm.py中添加--set connection_limit100防止過載內存優(yōu)化對于大流量場景設置--set stream_large_bodies1m線程模型高并發(fā)環(huán)境使用--set modeupstream:http://backend:port5.3 證書管理導出CA證書供客戶端安裝cp ~/.mitmproxy/mitmproxy-ca-cert.pem /home/work/job/nlp/mitp/config/ chmod 644 /home/work/job/nlp/mitp/config/mitmproxy-ca-cert.pem6. 運維監(jiān)控方案6.1 基礎監(jiān)控實現(xiàn)使用以下腳本定時檢查服務狀態(tài)#!/bin/bash if ! pgrep -f mitmdump /dev/null; then systemctl restart mitmproxy echo $(date): mitmproxy restarted /var/log/mitm_monitor.log fi添加到crontab(crontab -l 2/dev/null; echo */5 * * * * /usr/local/bin/mitm_monitor.sh) | crontab -6.2 日志分析技巧使用journalctl進行高級日志過濾journalctl -u mitmproxy --since 1 hour ago | grep -E error|fail|exception對于高流量場景建議添加日志輪轉配置/etc/logrotate.d/mitmproxy/home/work/job/nlp/mitp/logs/*.log { daily missingok rotate 7 compress delaycompress notifempty create 640 nobody nobody }在實際部署過程中我發(fā)現(xiàn)通過systemd集成的方式比直接nohup啟動更便于管理。特別是在服務器意外重啟后服務能自動恢復。建議定期檢查證書有效期默認1年可通過mitmproxy --cert-info查看。對于需要處理HTTPS流量的場景務必確保客戶端安裝了CA證書否則會出現(xiàn)SSL警告中斷連接。