Ποιος στέλνει το πιστοποιητικό πελάτη μέσω διαμεσολαβητή;
Κρατήστε τα διαπιστευτήρια mTLS του προορισμού χωριστά από τα διαπιστευτήρια του διαμεσολαβητή και από τα πιστοποιητικά που χρησιμοποιεί το Apache όταν δημιουργεί τη δική του συνεδρία TLS προς τα ανάντη.
Στο συνηθισμένο HTTPS μέσω CONNECT, η εφαρμογή στέλνει το πιστοποιητικό πελάτη του ιστότοπου κατά τη δική της χειραψία TLS με τον προορισμό. Ο διαμεσολαβητής αναμεταδίδει μόνο byte· δεν γίνεται αυτόματα πελάτης TLS του ιστότοπου.
| Διαπιστευτήριο | Κάτοχος/σύνδεση |
|---|---|
| Όνομα χρήστη/κωδικός διαμεσολαβητή | Πρόσβαση του πελάτη στον διαμεσολαβητή. |
| Πιστοποιητικό πελάτη και ιδιωτικό κλειδί του ιστότοπου | Συνεδρία TLS της εφαρμογής με τον προορισμό. |
| Πιστοποιητικό πελάτη ανάντη του διακομιστή διαμεσολάβησης | Συνεδρία TLS που ξεκινά ο ίδιος ο διαμεσολαβητής. |
Αυτοί οι ρόλοι μπορούν να συνυπάρχουν. Η μεταφόρτωση του ιδιωτικού κλειδιού του ιστότοπου σε απλό διαμεσολαβητή σήραγγας δεν απαιτείται για να λειτουργήσει το mTLS προορισμού. Μετά τη μεταβίβαση CONNECT, χρησιμοποιήστε τη συνήθη ρύθμιση πιστοποιητικού πελάτη προορισμού της εφαρμογής και συνεχίστε να επαληθεύετε το πιστοποιητικό διακομιστή του ιστότοπου.
Το SSLProxyMachineCertificateFile του Apache παρέχει διαπιστευτήρια όταν ο Apache δημιουργεί τη δική του συνεδρία TLS προς τα ανάντη. Η συμβουλή για αυτό το αρχείο δεν αποδεικνύει ότι κάθε πελάτης που χρησιμοποιεί αδιαφανή σήραγγα προώθησης πρέπει να το ρυθμίσει.
Η υποκλοπή TLS τερματίζει μια συνεδρία σε ενδιάμεσο και αλλάζει αυτή την κυριότητα. Εξακριβώστε αν η απαιτούμενη ταυτότητα πελάτη μπορεί να περάσει από αυτή τη διάταξη, αντί να υποθέσετε ότι η αντιγραφή πιστοποιητικού διατηρεί τον έλεγχο ταυτότητας από άκρο σε άκρο.
Σε αποτυχία, καταγράψτε αν το αίτημα σταμάτησε στη σύνδεση στον διαμεσολαβητή, στο TLS προορισμού ή στην επόμενη ανταλλαγή της εφαρμογής. Τοποθετήστε το διαπιστευτήριο στη σύνδεση που το ζητά πραγματικά.