Асобныя кантэксты TLS для проксі і вэб-сайта urllib3

Загрузіце кліенцкі сертыфікат HTTPS-проксі ў proxy_ssl_context, пакінуўшы давер да прызначэння і любую ідэнтычнасць кліента прызначэння ў ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Выкарыстоўвайце фактычна зацверджаныя файлы. proxy-roots.pem правярае пасрэдніка; proxy-client.pem і адпаведны прыватны ключ ідэнтыфікуюць гэтага кліента перад гэтым пасрэднікам. origin_tls захоўвае асобную палітыку даверу прызначэння.

Схема https у URL проксі істотная для гэтага першага абмену TLS. Для мэты HTTPS urllib3 затым адпраўляе CONNECT унутры знешняга сеанса TLS і выконвае TLS вэб-сайта праз тунэль.

Калі вэб-сайт таксама патрабуе кліенцкі сертыфікат, змясціце яго ў origin_tls. Паўторнае выкарыстанне ідэнтычнасці проксі там аўтэнтыфікавала б іншае злучэнне.

Звычайны HTTP-проксі, які перадае HTTPS, не мае знешняга рукапаціску TLS. Дадатковы HTTP 407 таксама асобны: прадастаўленне кліенцкага сертыфіката не дае ўліковых даных імя карыстальніка/пароля.

Падобныя артыкулы