Use contextos TLS separados para o proxy e o sitio web de urllib3

Cargue o certificado de cliente do proxy HTTPS en proxy_ssl_context, deixando a confianza do destino e calquera identidade de cliente do destino en ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Use os ficheiros aprobados reais. proxy-roots.pem verifica o intermediario; proxy-client.pem e a súa clave privada correspondente identifican este cliente ante ese intermediario. origin_tls mantén a política de confianza separada do destino.

O esquema https do URL do proxy é esencial para ese primeiro intercambio TLS. Para un destino HTTPS, urllib3 envía entón CONNECT dentro da sesión TLS externa e realiza o TLS do sitio web a través do túnel.

Se o sitio web tamén require un certificado de cliente, póñao en origin_tls. Reutilizar alí a identidade do proxy autenticaría unha conexión distinta.

Un proxy HTTP normal que transporta HTTPS non ten ningún handshake TLS externo. Un 407 HTTP adicional tamén é separado: proporcionar un certificado de cliente non subministra credenciais de usuario/contrasinal.

Artigos relacionados