Tko šalje klijentski certifikat kroz proxy?
Držite mTLS vjerodajnice odredišta odvojeno od proxy vjerodajnica i od certifikata koje Apache rabi kada stvara vlastitu izlaznu TLS sesiju.
Kod običnog HTTPS-a kroz CONNECT aplikacija šalje klijentski certifikat web-mjesta tijekom vlastitog TLS rukovanja s odredištem. Proxy samo prenosi bajtove; ne postaje automatski TLS klijent web-mjesta.
| Vjerodajnica | Vlasnik/veza |
|---|---|
| Korisničko ime/lozinka proxyja | Pristup klijenta proxyju. |
| Klijentski certifikat web-mjesta i privatni ključ | TLS sesija aplikacije s odredištem. |
| Izlazni klijentski certifikat proxy poslužitelja | TLS sesija koju sam proxy pokreće. |
Te uloge mogu postojati zajedno. Prijenos privatnog ključa web-mjesta na obični tunelski proxy nije potreban da bi mTLS prema odredištu radio. Nakon predaje CONNECT upotrijebite uobičajenu konfiguraciju klijentskog certifikata odredišta u aplikaciji i nastavite provjeravati certifikat poslužitelja web-mjesta.
SSLProxyMachineCertificateFile u Apacheu daje vjerodajnice kada Apache stvara vlastitu izlaznu TLS sesiju. Savjet o toj datoteci ne dokazuje da ju svaki klijent koji rabi neprozirni prosljeđujući tunel mora konfigurirati.
Presretanje TLS-a prekida sesiju na posredniku i mijenja to vlasništvo. Utvrdite može li traženi identitet klijenta proći kroz takav raspored, umjesto da pretpostavite da kopiranje certifikata čuva provjeru autentičnosti od kraja do kraja.
Kod kvara zabilježite je li zahtjev stao na prijavi na proxy, na TLS-u odredišta ili na kasnijoj razmjeni aplikacije. Stavite vjerodajnicu na vezu koja ju doista traži.