من يرسل شهادة العميل عبر الوسيط؟

في HTTPS عبر CONNECT العادي، يرسل التطبيق شهادة عميل الموقع أثناء مصافحة TLS الخاصة به مع الوجهة. أما الوسيط فيمرر البايتات فقط، ولا يصبح تلقائياً عميل TLS للموقع.

يمكن أن تتعايش هذه الأدوار. ولا يلزم رفع المفتاح الخاص للموقع إلى وسيط نفق بسيط لكي يعمل mTLS مع الوجهة. وبعد تسليم CONNECT، استخدم إعداد شهادة العميل المعتاد للتطبيق مع الوجهة وواصل التحقق من شهادة خادم الموقع.

يوفر SSLProxyMachineCertificateFile في Apache بيانات الاعتماد عندما ينشئ Apache جلسة TLS خاصة به إلى المنبع. والنصيحة بشأن ذلك الملف لا تثبت أن كل عميل يستخدم نفقاً أمامياً معتماً عليه تهيئته.

اعتراض TLS ينهي الجلسة عند وسيط ويغير هذه الملكية. تحقق مما إذا كانت هوية العميل المطلوبة تستطيع المرور عبر ذلك الترتيب بدلاً من افتراض أن نسخ شهادة يحافظ على المصادقة من طرف إلى طرف.

عند حدوث فشل، سجّل ما إذا كان الطلب قد توقف عند تسجيل الدخول إلى الوسيط أم عند TLS الوجهة أم عند تبادل التطبيق اللاحق. وضع بيانات الاعتماد على الاتصال الذي يطلبها فعلاً.