Getrennte TLS-Kontexte für Proxys und Websites von urllib3 verwenden

Laden Sie das Clientzertifikat des HTTPS-Proxys in proxy_ssl_context und lassen Sie Zielvertrauen sowie jede Client-Identität des Ziels in ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Verwenden Sie die tatsächlich freigegebenen Dateien. proxy-roots.pem prüft den Vermittler; proxy-client.pem und der zugehörige private Schlüssel identifizieren diesen Client gegenüber diesem Vermittler. origin_tls behält die getrennte Vertrauensrichtlinie des Ziels bei.

Das https-Schema der Proxy-URL ist für diesen ersten TLS-Austausch unerlässlich. Bei einem HTTPS-Ziel sendet urllib3 dann CONNECT innerhalb der äußeren TLS-Sitzung und führt das Website-TLS durch den Tunnel aus.

Wenn die Website ebenfalls ein Clientzertifikat verlangt, legen Sie es in origin_tls ab. Eine Wiederverwendung der Proxy-Identität dort würde eine andere Verbindung authentifizieren.

Ein gewöhnlicher HTTP-Proxy, der HTTPS trägt, hat keinen äußeren TLS-Handshake. Ein zusätzlicher HTTP-407 ist ebenfalls getrennt: Ein Clientzertifikat liefert keine Benutzername-Passwort-Anmeldedaten.

Ähnliche Artikel