Ko šalje klijentski certifikat kroz proxy?
Držite mTLS akreditive odredišta odvojeno od proxy akreditiva i od certifikata koje Apache koristi kada sam stvara vlastitu izlaznu TLS sesiju.
Kod običnog HTTPS kroz CONNECT aplikacija šalje klijentski certifikat web lokacije tijekom vlastitog TLS rukovanja s odredištem. Proxy prosljeđuje bajtove; ne postaje automatski TLS klijent web lokacije.
| Akreditiv | Vlasnik/veza |
|---|---|
| Korisničko ime/lozinka proxyja | Pristup klijenta proxyju. |
| Klijentski certifikat web lokacije i privatni ključ | TLS sesija aplikacije s odredištem. |
| Izlazni klijentski certifikat proxy poslužitelja | TLS sesija koju sam proxy pokreće. |
Te uloge mogu koegzistirati. Prijenos privatnog ključa web lokacije na obični tunelski proxy nije potreban da bi mTLS prema odredištu radio. Nakon predaje CONNECT upotrijebite uobičajenu konfiguraciju klijentskog certifikata odredišta u aplikaciji i nastavite provjeravati certifikat poslužitelja web lokacije.
SSLProxyMachineCertificateFile u Apacheu daje akreditive kada Apache stvara vlastitu izlaznu TLS sesiju. Savjet o toj datoteci ne dokazuje da ju svaki klijent koji koristi neprozirni propusni tunel mora konfigurirati.
Presretanje TLS-a prekida sesiju na posredniku i mijenja to vlasništvo. Utvrdite može li traženi klijentski identitet proći kroz takav raspored, umjesto da pretpostavite da kopiranje certifikata zadržava provjeru autentičnosti s kraja na kraj.
Kod kvara zabilježite je li zahtjev stao na prijavi na proxy, na TLS-u odredišta ili na kasnijoj razmjeni aplikacije. Stavite akreditiv na vezu koja ga doista traži.