Σύνολα CA του Cargo για τον διακομιστή μεσολάβησης και τον διακομιστή πακέτων
Εφαρμόστε τα cainfo και proxy-cainfo του Cargo στη σωστή σύνδεση TLS, αντί να θεωρείτε όλες τις αποτυχίες πιστοποιητικού μεσολάβησης ένα πρόβλημα εμπιστοσύνης.
Για διακομιστή μεσολάβησης HTTPS και πηγή πακέτων HTTPS, το Cargo μπορεί να επαληθεύει δύο συνδέσεις TLS με διαφορετικά σύνολα CA:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Αντικαταστήστε το τελικό σημείο και τις διαδρομές με τις εγκεκριμένες τιμές σας. Αυτός ο διακομιστής μεσολάβησης διαθέτει σκόπιμα ακροατή TLS· ένας απλός διακομιστής μεσολάβησης HTTP δεν γίνεται HTTPS επειδή η πηγή πακέτων χρησιμοποιεί HTTPS.
| Στάδιο αποτυχίας | Ρύθμιση εμπιστοσύνης προς έλεγχο |
|---|---|
| TLS διακομιστή μεσολάβησης, πριν υπάρξει σήραγγα προς τον προορισμό | http.proxy-cainfo, που χρησιμοποιεί το http.cainfo αν δεν οριστεί ξεχωριστά. |
| Πιστοποιητικό προορισμού μετά τη δημιουργία σήραγγας | http.cainfo για τη διαδρομή εμπιστοσύνης του προορισμού. |
Οι αντίστοιχες μεταβλητές είναι CARGO_HTTP_PROXY_CAINFO και CARGO_HTTP_CAINFO. Χρησιμοποιήστε την κατάλληλη εγκεκριμένη αρχή πιστοποίησης· η αντιγραφή ενός τυχαίου πιστοποιητικού και στα δύο αρχεία δεν προσδιορίζει ποια σύνδεση είναι λανθασμένη.
Ένας μη κρυπτογραφημένος διακομιστής μεσολάβησης HTTP που μεταφέρει CONNECT δεν έχει πιστοποιητικό TLS ακροατή μεσολάβησης προς επαλήθευση. Ένα σφάλμα προορισμού εκεί δεν διορθώνεται με την επινόηση αρχείου CA μεσολάβησης. Ελέγξτε επίσης ότι η ρυθμισμένη διαδρομή υπάρχει μέσα στο πραγματικό κοντέινερ ή την εργασία CI και συνυπολογίστε τη συμπεριφορά λειτουργικού συστήματος και μηχανισμού TLS όταν συγκρίνετε περιβάλλοντα.
Κρατήστε την επαλήθευση ενεργή. Παρέχει τον έλεγχο ταυτότητας που απαιτείται για να διακρίνεται η επιθυμητή υπηρεσία από μια μεταφορά που απλώς συνεχίζεται.