Qui envia el certificat de client a través d'un proxy?
Manteniu les credencials mTLS de destinació separades de les credencials del proxy i dels certificats que Apache fa servir quan crea la seva pròpia sessió TLS ascendent.
En l'HTTPS a través de CONNECT ordinari, l'aplicació envia el certificat de client del lloc web durant la seva pròpia negociació TLS amb la destinació. El proxy només retransmet bytes; no es converteix automàticament en el client TLS del lloc web.
| Credencial | Propietari/connexió |
|---|---|
| Usuari/contrasenya del proxy | Accés del client al proxy. |
| Certificat de client i clau privada del lloc web | Sessió TLS de l'aplicació amb la destinació. |
| Certificat de client ascendent del servidor proxy | Una sessió TLS que inicia el mateix proxy. |
Aquests papers poden coexistir. No cal pujar la clau privada del lloc web a un proxy de túnel simple perquè funcioni el mTLS de destinació. Després del lliurament CONNECT, feu servir la configuració habitual de certificat de client de destinació de l'aplicació i continueu verificant el certificat del servidor del lloc web.
SSLProxyMachineCertificateFile d'Apache proporciona credencials quan Apache crea la seva pròpia sessió TLS ascendent. Un consell sobre aquest fitxer no demostra que tots els clients que usen un túnel de reenviament opac l'hagin de configurar.
La intercepció TLS acaba una sessió en un intermediari i canvia aquesta propietat. Determineu si la identitat de client requerida pot passar per aquesta disposició en lloc de suposar que copiar un certificat preserva l'autenticació d'extrem a extrem.
Si hi ha una fallada, anoteu si la sol·licitud es va aturar a l'inici de sessió del proxy, a la TLS de destinació o a l'intercanvi posterior de l'aplicació. Poseu la credencial a la connexió que realment la demana.