Cargo-CA-Bündel für Proxy und Paketserver
Ordnen Sie Cargos cainfo und proxy-cainfo der richtigen TLS-Verbindung zu, statt jeden Proxy-Zertifikatfehler als dasselbe Vertrauensproblem zu behandeln.
Bei einem HTTPS-Proxy und einer HTTPS-Paketquelle kann Cargo zwei TLS-Verbindungen mit unterschiedlichen CA-Bündeln prüfen:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Ersetzen Sie Endpunkt und Pfade durch Ihre freigegebenen Werte. Dieser Proxy besitzt ausdrücklich einen TLS-Listener; ein gewöhnlicher HTTP-Proxy wird nicht dadurch zu HTTPS, dass die Paketquelle HTTPS nutzt.
| Fehlerphase | Zu prüfende Vertrauenseinstellung |
|---|---|
| Proxy-TLS, bevor ein Tunnel zum Ziel besteht | http.proxy-cainfo; ohne separate Einstellung wird auf http.cainfo zurückgegriffen. |
| Zielzertifikat nach dem Tunnelaufbau | http.cainfo für den Vertrauenspfad zum Ziel. |
Die entsprechenden Variablen sind CARGO_HTTP_PROXY_CAINFO und CARGO_HTTP_CAINFO. Verwenden Sie die passende freigegebene Zertifizierungsstelle; ein beliebiges Zertifikat in beide Dateien zu kopieren, zeigt nicht, welche Verbindung fehlerhaft ist.
Ein unverschlüsselter HTTP-Proxy mit CONNECT besitzt kein zu prüfendes TLS-Zertifikat am Proxy-Listener. Ein Zielfehler wird dort nicht durch eine erfundene Proxy-CA-Datei behoben. Prüfen Sie außerdem, ob ein konfigurierter Pfad im tatsächlichen Container oder CI-Job existiert, und berücksichtigen Sie beim Umgebungsvergleich das Verhalten von Betriebssystem und TLS-Backend.
Lassen Sie die Prüfung aktiviert. Sie liefert die Identitätsprüfung, um den beabsichtigten Dienst von einer lediglich fortgesetzten Übertragung zu unterscheiden.