UnboundID можа змясціць LDAPS унутры тунэля HTTP CONNECT

Выкарыстоўвайце HTTPProxySocketFactory з фабрыкай TLS-сокетаў і ўлічвайце адсутнасць прамой падтрымкі аўтэнтыфікацыі праз проксі.

UnboundID LDAP SDK 7.0.5 прапануе HTTPProxySocketFactory для маршруту HTTP CONNECT. Перадайце фабрыку TLS-сокетаў прыкладання, калі прызначэннем з'яўляецца LDAPS:

var proxyFactory =
    new com.unboundid.util.HTTPProxySocketFactory(
        "proxy.example.net", 8080, 10000, ldapsTlsFactory);

ldapsTlsFactory — гэта SSLSocketFactory прыкладання з патрэбнай канфігурацыяй даверу да сервера. Перадайце proxyFactory у канструктар LDAPConnection, які прымае фабрыку сокетаў і фактычныя імя хоста і порт сервера LDAP.

Наладзьце таксама праверку імя хоста злучэння. SDK прадстаўляе HostNameSSLSocketVerifier праз LDAPConnectionOptions; давер толькі да выпускніка сертыфіката — не тое ж самае, што супастаўленне з патрэбным хостам LDAP.

HTTP-проксі павінен дазваляць CONNECT да гэтага прызначэння, часта порт 636 для LDAPS. Проксі, абмежаваны партамі вэб-прызначэнняў, можа адхіліць яго.

Дакументаваныя абмежаванні фабрыкі важныя: сувязь з самім проксі не шыфруецца TLS, і ён не прапануе прамой падтрымкі аўтэнтыфікацыі HTTP-проксі. Перадача TLS-фабрыкі для LDAPS абараняе наступнае злучэнне з каталогам, а не дадае адсутны механізм уваходу праз проксі.

Падобныя артыкулы