Proksi vasitəsilə müştəri sertifikatını kim göndərir?
Təyinat mTLS etimadnamələrini proksi etimadnamələrindən və Apache-nin öz yuxarı axın TLS sessiyasını yaratdığı zaman istifadə etdiyi sertifikatlardan ayrı saxlayın.
Adi CONNECT üzərindən HTTPS zamanı tətbiq veb saytın müştəri sertifikatını öz təyinat TLS əl sıxması çərçivəsində göndərir. Proksi yalnız baytları ötürür; avtomatik olaraq veb saytın TLS müştərisinə çevrilmir.
| Etimadnamə | Sahib/bağlantı |
|---|---|
| Proksi istifadəçi adı/parolu | Müştərinin proksiyə girişi. |
| Veb saytın müştəri sertifikatı və şəxsi açarı | Tətbiqin təyinatla TLS sessiyası. |
| Proksi serverinin yuxarı axın müştəri sertifikatı | Proksinin özünün başlatdığı TLS sessiyası. |
Bu rollar birlikdə mövcud ola bilər. Təyinat mTLS-in işləməsi üçün veb saytın şəxsi açarını sadə tunel proksisinə yükləmək tələb olunmur. CONNECT ötürülməsindən sonra tətbiqin adi təyinat müştəri sertifikatı konfiqurasiyasından istifadə edin və veb sayt server sertifikatını yoxlamağa davam edin.
Apache-nin SSLProxyMachineCertificateFile parametri Apache öz yuxarı axın TLS sessiyasını yaratdığı zaman etimadnamə təqdim edir. Həmin fayl haqqında məsləhət şəffaf olmayan forvard tuneldən istifadə edən hər müştərinin onu konfiqurasiya etməli olduğunu sübut etmir.
TLS müdaxiləsi sessiyanı ara vasitədə bitirir və bu sahibliyi dəyişir. Sertifikatın kopyalanmasının ucdan-uca autentifikasiyanı qoruduğunu güman etmək əvəzinə tələb olunan müştəri kimliyinin həmin quruluşdan keçə biləcəyini müəyyənləşdirin.
Uğursuzluq halında sorğunun proksi girişində, təyinat TLS-də yoxsa sonrakı tətbiq mübadiləsində dayandığını qeyd edin. Etimadnaməni onu həqiqətən tələb edən bağlantıya qoyun.