Käytä erillisiä TLS-konteksteja urllib3:n välityspalvelimelle ja verkkosivustolle

Lataa HTTPS-välityspalvelimen asiakasvarmenne kohtaan proxy_ssl_context ja jätä kohdekohtainen luottamus sekä mahdollinen kohteen asiakasidentiteetti kohtaan ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Käytä todellisia hyväksyttyjä tiedostoja. proxy-roots.pem varmistaa välittäjän; proxy-client.pem ja sitä vastaava yksityinen avain tunnistavat tämän asiakkaan kyseiselle välittäjälle. origin_tls säilyttää kohteen erillisen luottamuskäytännön.

Välityspalvelimen URL-osoitteen https-skeema on välttämätön tälle ensimmäiselle TLS-vaihdolle. HTTPS-kohteelle urllib3 lähettää sitten CONNECT-viestin ulomman TLS-istunnon sisällä ja suorittaa verkkosivuston TLS:n tunnelin kautta.

Jos verkkosivusto vaatii myös asiakasvarmenteen, aseta se kohtaan origin_tls. Välityspalvelimen identiteetin uudelleenkäyttö siinä todentaisi eri yhteyden.

Tavallisella HTTP-välityspalvelimella, joka kuljettaa HTTPS:ää, ei ole ulompaa TLS-kättelyä. Myös ylimääräinen HTTP 407 on erillinen: asiakasvarmenteen tarjoaminen ei toimita käyttäjätunnus/salasana-tunnuksia.

Aiheeseen liittyvät artikkelit