Kes saadab kliendisertifikaadi puhverserveri kaudu?
Hoidke sihtkoha mTLS-volitused puhverserveri volitustest ja sertifikaatidest, mida Apache kasutab oma ülesvoolava TLS-seansi loomisel, eraldi.
Tavalise CONNECT-i kaudu toimiva HTTPS-i puhul saadab rakendus veebisaidi kliendisertifikaadi omaenda sihtkoha TLS-kätlemise ajal. Puhverserver edastab ainult baite; sellest ei saa automaatselt veebisaidi TLS-klient.
| Volitus | Omanik/ühendus |
|---|---|
| Puhverserveri kasutajanimi/parool | Kliendi juurdepääs puhverserverile. |
| Veebisaidi kliendisertifikaat ja privaatvõti | Rakenduse TLS-seanss sihtkohaga. |
| Puhverserveri ülesvoolav kliendisertifikaat | TLS-seanss, mille puhverserver ise algatab. |
Need rollid võivad kõrvuti eksisteerida. Sihtkoha mTLS-i toimimiseks ei ole vaja veebisaidi privaatvõtit lihtsasse tunnelpuhverserverisse üles laadida. Pärast CONNECT-i üleandmist kasutage rakenduse tavalist sihtkoha kliendisertifikaadi seadistust ja jätkake veebisaidi serverisertifikaadi kontrollimist.
Apache SSLProxyMachineCertificateFile annab volitused, kui Apache loob oma ülesvoolava TLS-seansi. Nõuanne selle faili kohta ei tõesta, et iga läbipaistmatut edastustunnelit kasutav klient peab selle seadistama.
TLS-i vahendamine lõpetab seansi vahendajas ja muudab seda omandit. Tehke kindlaks, kas nõutav kliendi identiteet saab sellest korraldusest läbi minna, selle asemel et eeldada, et sertifikaadi kopeerimine säilitab otsast-otsani autentimise.
Tõrke korral kirjutage üles, kas päring peatus puhverserveri sisselogimisel, sihtkoha TLS-is või hilisemas rakenduse vahetuses. Asetage volitus ühendusele, mis seda tegelikult nõuab.