UnboundID peut placer LDAPS dans un tunnel HTTP CONNECT

Utilisez HTTPProxySocketFactory avec une fabrique de sockets TLS et tenez compte de l'absence de prise en charge directe de l'authentification par proxy.

UnboundID LDAP SDK 7.0.5 fournit HTTPProxySocketFactory pour une route HTTP CONNECT. Fournissez la fabrique de sockets TLS de l'application lorsque la destination est LDAPS :

var proxyFactory =
    new com.unboundid.util.HTTPProxySocketFactory(
        "proxy.example.net", 8080, 10000, ldapsTlsFactory);

ldapsTlsFactory est la SSLSocketFactory de l'application avec la configuration de confiance serveur prévue. Passez proxyFactory à un constructeur LDAPConnection acceptant une fabrique de sockets ainsi que le nom d'hôte et le port réels du serveur LDAP.

Configurez aussi la vérification du nom d'hôte de la connexion. Le SDK expose HostNameSSLSocketVerifier via LDAPConnectionOptions ; faire confiance au seul émetteur du certificat n'est pas le même contrôle que la correspondance avec l'hôte LDAP prévu.

Le proxy HTTP doit autoriser CONNECT vers cette destination, souvent le port 636 pour LDAPS. Un proxy limité aux ports de destinations web peut le refuser.

Les limites documentées de la fabrique comptent : la communication avec le proxy lui-même n'est pas chiffrée par TLS et elle n'offre aucune prise en charge directe de l'authentification par proxy HTTP. Fournir une fabrique TLS pour LDAPS protège la connexion d'annuaire suivante, plutôt que d'ajouter un mécanisme de connexion proxy manquant.

Articles similaires