Kasutage urllib3 puhverserveri ja veebisaidi jaoks eraldi TLS-kontekste

Laadige HTTPS-puhverserveri kliendisertifikaat jaotisesse proxy_ssl_context, jättes sihtkoha usalduse ja kõik sihtkoha kliendi identiteedi jaotisesse ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Kasutage tegelikke kinnitatud faile. proxy-roots.pem kontrollib vahendajat; proxy-client.pem ja sellele vastav privaatvõti tuvastavad selle kliendi selle vahendaja ees. origin_tls säilitab sihtkoha eraldi usalduspoliitika.

Puhverserveri URL-i https skeem on selle esimese TLS-vahetuse jaoks hädavajalik. HTTPS-sihtmärgi puhul saadab urllib3 seejärel CONNECT välise TLS-seansi sees ja teostab veebisaidi TLS-i tunneli kaudu.

Kui veebisait nõuab ka kliendisertifikaati, asetage see jaotisesse origin_tls. Puhverserveri identiteedi seal korduskasutamine autentiks erineva ühenduse.

Tavalisel HTTPS-i kandval HTTP-puhverserveril pole välist TLS-kätlust. Täiendav HTTP 407 on samuti eraldi: kliendisertifikaadi esitamine ei anna kasutajanime/parooli mandaate.

Seotud artiklid