Používejte oddělené kontexty TLS pro proxy a web urllib3

Načtěte klientský certifikát HTTPS proxy do proxy_ssl_context a důvěru cíle i jakoukoli identitu klientského cíle ponechte na ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Používejte skutečné schválené soubory. proxy-roots.pem ověřuje prostředníka; proxy-client.pem a odpovídající soukromý klíč identifikují tohoto klienta vůči tomuto prostředníkovi. origin_tls zachovává oddělenou zásadu důvěry cíle.

Schéma https v URL proxy je pro tuto první výměnu TLS zásadní. Pro cíl HTTPS pak urllib3 odešle CONNECT uvnitř vnější relace TLS a provede TLS webu tunelem.

Pokud web vyžaduje také klientský certifikát, vložte jej do origin_tls. Opětovné použití identity proxy by tam autentizovalo jiné spojení.

Běžná HTTP proxy přenášející HTTPS nemá vnější TLS handshake. Další HTTP 407 je také oddělené: poskytnutí klientského certifikátu nedodává přihlašovací údaje uživatel/heslo.

Související články