אימות פרוקסי HTTPS בגשר stunnel מקומי

ספקו ליישום נקודת HTTP לא מוצפנת ב־loopback, בזמן ש־stunnel מאמת את TLS מול הפרוקסי האמיתי.

[proxy_tls]
client = yes
accept = 127.0.0.1:3129
connect = proxy.example:8443
verifyChain = yes
CAfile = /path/to/trusted-ca-bundle.pem
checkHost = proxy.example
sni = proxy.example

השתמשו בפרוקסי המרוחק הרצוי ובמאגד CA מהימן. האפשרות verifyChain בודקת את שרשרת המנפיקים שלו; האפשרות checkHost בודקת את שמו. האפשרות sni שולחת את השם אך אינה מאמתת אותו.

הפנו את לקוח פרוקסי ה־HTTP לנקודת הקצה המקומית:

curl --proxy http://127.0.0.1:3129 https://www.example.org/

היישום עדיין מבצע CONNECT וכל התחברות נדרשת לפרוקסי. stunnel מוסיף את מקטע ה־TLS, לא אימות HTTP. המאזין המרוחק חייב לספק בפועל שירות פרוקסי HTTP מעל TLS.

באתרי HTTPS, ה־TLS של היעד ממשיך בתוך המסלול הזה עם האימות הרגיל שלו. שתי התעודות מזהות צדדים שונים בחיבור.

מאמרים קשורים