Kuka lähettää asiakasvarmenneen välityspalvelimen kautta?
Pidä kohteen mTLS-tunnukset erillään välityspalvelimen tunnuksista ja varmenteista, joita Apache käyttää luodessaan oman ylävirran TLS-istuntonsa.
Tavallisessa CONNECTin kautta kulkevassa HTTPS:ssä sovellus lähettää verkkosivuston asiakasvarmenteen oman kohdekättelynsä aikana. Välityspalvelin välittää vain tavuja; siitä ei automaattisesti tule verkkosivuston TLS-asiakasta.
| Tunnus | Omistaja/yhteys |
|---|---|
| Välityspalvelimen käyttäjätunnus/salasana | Asiakkaan pääsy välityspalvelimeen. |
| Verkkosivuston asiakasvarmenne ja yksityinen avain | Sovelluksen TLS-istunto kohteen kanssa. |
| Välityspalvelimen ylävirran asiakasvarmenne | TLS-istunto, jonka välityspalvelin itse aloittaa. |
Nämä roolit voivat olla rinnakkain. Verkkosivuston yksityistä avainta ei tarvitse ladata yksinkertaiseen tunnelivälityspalvelimeen, jotta kohde-mTLS toimisi. CONNECT-siirron jälkeen käytä sovelluksen tavanomaista kohteen asiakasvarmenneasetusta ja jatka verkkosivuston palvelinvarmenteen tarkistamista.
Apachen SSLProxyMachineCertificateFile toimittaa tunnukset, kun Apache luo oman ylävirran TLS-istuntonsa. Tuota tiedostoa koskeva ohje ei todista, että jokaisen läpinäkymätöntä edelleenvälitystunnelia käyttävän asiakkaan on määritettävä se.
TLS-sieppaus päättää istunnon välittäjään ja muuttaa tätä omistajuutta. Selvitä, voiko vaadittu asiakasidentiteetti kulkea tämän järjestelyn läpi, sen sijaan että olettaisit varmenteen kopioimisen säilyttävän päästä päähän -todennuksen.
Virhetilanteessa kirjaa, pysähtyikö pyyntö välityspalvelimen kirjautumiseen, kohteen TLS:ään vai myöhempään sovellusvaihtoon. Sijoita tunnus yhteydelle, joka todella pyytää sitä.