Отделни TLS контексти за проксито и сайта на urllib3

Заредете клиентския сертификат на HTTPS проксито в proxy_ssl_context, оставяйки доверието към дестинацията и всяка клиентска идентичност за дестинацията в ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Използвайте действителните одобрени файлове. proxy-roots.pem проверява посредника; proxy-client.pem и съответният му частен ключ идентифицират този клиент пред този посредник. origin_tls запазва отделната политика за доверие на дестинацията.

Схемата https на URL адреса на проксито е от съществено значение за този първи TLS обмен. За HTTPS цел urllib3 след това изпраща CONNECT вътре във външната TLS сесия и извършва TLS на сайта през тунела.

Ако сайтът също изисква клиентски сертификат, поставете го в origin_tls. Повторното използване на идентичността на проксито там би удостоверило друга връзка.

Обикновеното HTTP прокси, пренасящо HTTPS, няма външен TLS ръкостиск. Допълнителният HTTP 407 също е отделен: предоставянето на клиентски сертификат не дава идентификационни данни за потребителско име/парола.

Подобни статии