Pwy sy'n anfon y dystysgrif cleient trwy brocsi?
Cadwch gymwysterau mTLS y gyrchfan ar wahân i gymwysterau'r procsi ac i'r tystysgrifau y mae Apache yn eu defnyddio pan fydd yn creu ei sesiwn TLS ei hun i fyny'r afon.
Yn yr HTTPS drwy CONNECT arferol, mae'r cymhwysiad yn anfon tystysgrif cleient y wefan yn ystod ei ysgwyd llaw TLS ei hun â'r gyrchfan. Mae'r procsi'n ailgyflwyno beitiau yn unig; nid yw'n dod yn glient TLS y wefan yn awtomatig.
| Cymhwyster | Perchennog/cysylltiad |
|---|---|
| Enw defnyddiwr/cyfrinair y procsi | Mynediad y cleient i'r procsi. |
| Tystysgrif cleient a allwedd breifat y wefan | Sesiwn TLS y cymhwysiad â'r gyrchfan. |
| Tystysgrif cleient i fyny'r afon gweinydd y procsi | Sesiwn TLS y mae'r procsi ei hun yn ei chychwyn. |
Gall y rolau hyn gydfodoli. Nid oes angen llwytho allwedd breifat y wefan i brocsi twnelu plaen i wneud mTLS y gyrchfan yn gweithio. Ar ôl throsglwyddiad CONNECT, defnyddiwch ffurfweddiad arferol tystysgrif cleient y gyrchfan yn y cymhwysiad a pharhewch i wirio tystysgrif gweinydd y wefan.
Mae SSLProxyMachineCertificateFile Apache yn darparu cymwysterau pan fydd Apache yn creu ei sesiwn TLS ei hun i fyny'r afon. Nid yw cyngor am y ffeil honno'n profi bod yn rhaid i bob cleient sy'n defnyddio twnnel blaen afloyw ei ffurfweddu.
Mae rhyng-gipio TLS yn terfynu sesiwn mewn cyfryngwr ac yn newid y perchnogaeth hon. Pennwch a all yr hunaniaeth cleient ofynnol basio trwy'r drefn honno yn lle tybio bod copïo tystysgrif yn cadw dilysiad o ben bwy gilydd.
Pan fydd methiant, cofnodwch a stopiodd y cais wrth fewngofnodi'r procsi, wrth TLS y gyrchfan neu wrth gyfnewid diweddarach y cymhwysiad. Rhowch y cymhwyster ar y cysylltiad sy'n ei ofyn mewn gwirionedd.