Uzu apartajn TLS-kuntekstojn por la prokurilo kaj retejo de urllib3

Ŝargu la klientan atestilon de la HTTPS-prokurilo en proxy_ssl_context, lasante la fido al la celo kaj ajnan klientan identecon de la celo en ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Uzu la efektive aprobitajn dosierojn. proxy-roots.pem kontrolas la peranton; proxy-client.pem kaj ĝia kongrua privata ŝlosilo identigas ĉi tiun klienton al tiu peranto. origin_tls konservas la apartan fidopolitikon de la celo.

La https-skemo de la prokurila URL estas esenca por tiu unua TLS-interŝanĝo. Por HTTPS-celo, urllib3 poste sendas CONNECT ene de la ekstera TLS-kunsido kaj plenumas la retejan TLS tra la tunelo.

Se la retejo ankaŭ postulas klientan atestilon, metu ĝin sur origin_tls. Reuzi la prokurilan identecon tie aŭtentigus alian konekton.

Ordinara HTTP-prokurilo portanta HTTPS havas neniun eksteran TLS-manpremon. Plia HTTP 407 ankaŭ estas aparta: provizi klientan atestilon ne donas legitimilojn de uzantnomo/pasvorto.

Rilataj artikoloj