چه کسی گواهی مشتری را از طریق پروکسی می‌فرستد؟
اعتبارنامه‌های mTLS مقصد را از اعتبارنامه‌های پروکسی و از گواهی‌هایی که Apache هنگام ایجاد نشست TLS بالادستی خود به کار می‌برد جدا نگه دارید.
در HTTPS از طریق CONNECT معمولی، برنامه گواهی مشتری وب‌سایت را در جریان دست‌دهی TLS خود با مقصد می‌فرستد. پروکسی فقط بایت‌ها را منتقل می‌کند و به‌طور خودکار مشتری TLS وب‌سایت نمی‌شود.
| اعتبارنامه | مالک/اتصال |
|---|---|
| نام کاربری/گذرواژه پروکسی | دسترسی مشتری به پروکسی. |
| گواهی مشتری و کلید خصوصی وب‌سایت | نشست TLS برنامه با مقصد. |
| گواهی مشتری بالادستی سرور پروکسی | نشست TLS که خود پروکسی آغاز می‌کند. |
این نقش‌ها می‌توانند هم‌زمان وجود داشته باشند. برای کارکرد mTLS مقصد، بارگذاری کلید خصوصی وب‌سایت روی یک پروکسی تونل ساده لازم نیست. پس از واگذاری CONNECT، از پیکربندی معمول گواهی مشتری مقصد در برنامه استفاده کنید و بررسی گواهی سرور وب‌سایت را ادامه دهید.
SSLProxyMachineCertificateFile در Apache هنگام ایجاد نشست TLS بالادستی توسط خود Apache اعتبارنامه فراهم می‌کند. توصیه درباره آن فایل ثابت نمی‌کند که هر مشتری که از تونل ارسال مبهم استفاده می‌کند باید آن را پیکربندی کند.
رهگیری TLS نشست را در یک واسطه پایان می‌دهد و این مالکیت را تغییر می‌دهد. مشخص کنید آیا هویت مشتری موردنیاز می‌تواند از این ترتیبات عبور کند، به‌جای اینکه فرض کنید رونوشت یک گواهی احراز هویت سرتاسری را حفظ می‌کند.
در صورت شکست، ثبت کنید که درخواست در ورود به پروکسی، در TLS مقصد یا در تبادل بعدی برنامه متوقف شده است. اعتبارنامه را روی اتصالی بگذارید که واقعاً آن را درخواست می‌کند.