التحقق من هوية بروكسي HTTPS عبر جسر stunnel محلي

وفّر للتطبيق نقطة HTTP غير مشفرة على loopback، ودع stunnel يتحقق من TLS إلى البروكسي الفعلي.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

استخدم البروكسي البعيد المقصود وحزمة CA موثوقة. يفحص verifyChain سلسلة الجهات المصدرة له؛ ويفحص checkHost اسمه. يرسل sni الاسم لكنه لا يتحقق منه.

وجّه عميل بروكسي HTTP إلى نقطة الاتصال المحلية:

curl --proxy http://127.0.0.1:3129 https://www.example.org/

يظل التطبيق مسؤولًا عن CONNECT وأي تسجيل دخول يتطلبه البروكسي. يضيف stunnel مقطع TLS، لا مصادقة HTTP. ويجب أن يوفر المستمع البعيد بالفعل خدمة بروكسي HTTP عبر TLS.

بالنسبة لمواقع HTTPS، يستمر TLS الخاص بالوجهة داخل هذا المسار مع التحقق المعتاد الخاص به. تحدد الشهادتان هوية طرفين مختلفين.

مقالات ذات صلة