Kdo odesílá klientský certifikát přes proxy?
Uchovávejte přihlašovací údaje mTLS cíle odděleně od údajů proxy a od certifikátů, které Apache používá, když vytváří vlastní odchozí relaci TLS.
U běžného HTTPS přes CONNECT posílá aplikace klientský certifikát webu během vlastního TLS handshake s cílem. Proxy pouze přeposílá bajty; automaticky se nestává TLS klientem webu.
| Přihlašovací údaj | Vlastník/spojení |
|---|---|
| Uživatelské jméno/heslo proxy | Přístup klienta k proxy. |
| Klientský certifikát webu a soukromý klíč | TLS relace aplikace s cílem. |
| Odchozí klientský certifikát proxy serveru | TLS relace, kterou iniciuje samotná proxy. |
Tyto role mohou koexistovat. Nahrání soukromého klíče webu do jednoduché tunelové proxy není nutné k tomu, aby mTLS k cíli fungovalo. Po předání CONNECT použijte obvyklou konfiguraci klientského certifikátu cíle v aplikaci a dál ověřujte certifikát serveru webu.
SSLProxyMachineCertificateFile v Apache dodává přihlašovací údaje, když Apache vytváří vlastní odchozí relaci TLS. Rada o tomto souboru nedokazuje, že jej každý klient používající neprůhledný dopředný tunel musí nakonfigurovat.
Zachytávání TLS ukončuje relaci u prostředníka a mění toto vlastnictví. Zjistěte, zda požadovaná identita klienta může projít tímto uspořádáním, místo abyste předpokládali, že zkopírování certifikátu zachová ověřování mezi koncovými body.
Při selhání zaznamenejte, zda se požadavek zastavil při přihlášení k proxy, při TLS cíle, nebo při pozdější výměně aplikace. Umístěte přihlašovací údaj na spojení, které jej skutečně vyžaduje.