Cargos CA-pakker til proxy og pakkeserver
Brug Cargos cainfo og proxy-cainfo til den rigtige TLS-forbindelse i stedet for at behandle alle proxycertifikatfejl som samme tillidsproblem.
Med en HTTPS-proxy og en HTTPS-pakkekilde kan Cargo kontrollere to TLS-forbindelser med forskellige CA-pakker:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Erstat slutpunkt og stier med dine godkendte værdier. Denne proxy har bevidst en TLS-lytter; en almindelig HTTP-proxy bliver ikke HTTPS, fordi pakkekilden bruger HTTPS.
| Fejlstadium | Tillidsindstilling, der skal undersøges |
|---|---|
| Proxy-TLS, før der findes en tunnel til destinationen | http.proxy-cainfo, som falder tilbage på http.cainfo, når den ikke er indstillet separat. |
| Destinationscertifikat efter oprettelse af tunnelen | http.cainfo til destinationens tillidssti. |
De tilsvarende variabler er CARGO_HTTP_PROXY_CAINFO og CARGO_HTTP_CAINFO. Brug den relevante godkendte certifikatmyndighed; at kopiere et tilfældigt certifikat til begge filer viser ikke, hvilken forbindelse der er forkert.
En ukrypteret HTTP-proxy, der transporterer CONNECT, har intet TLS-certifikat på proxylytteren at kontrollere. En destinationsfejl dér løses ikke ved at opfinde en proxy-CA-fil. Kontrollér også, at en konfigureret sti findes i den faktiske container eller CI-opgave, og tag højde for operativsystemets og TLS-backendens adfærd, når du sammenligner miljøer.
Lad kontrollen være slået til. Den leverer det identitetstjek, der skelner den tilsigtede tjeneste fra en overførsel, der blot fortsætter.