Ki küldi az ügyféltanúsítványt a proxy segítségével?
Tartsa a cél mTLS-hitelesítő adatait külön a proxy hitelesítő adataitól és azoktól a tanúsítványoktól, amelyeket az Apache a saját felső TLS-munkamenetének létrehozásakor használ.
A szokásos CONNECT-en átmenő HTTPS esetén az alkalmazás a saját célfelé irányuló TLS-kézfogása során küldi a webhely ügyféltanúsítványát. A proxy csak bájtokat továbbít; nem válik automatikusan a webhely TLS-ügyfelévé.
| Hitelesítő adat | Tulajdonos/kapcsolat |
|---|---|
| Proxy felhasználónév/jelszó | Az ügyfél hozzáférése a proxyhoz. |
| A webhely ügyféltanúsítványa és privát kulcsa | Az alkalmazás TLS-munkamenete a céllal. |
| A proxykiszolgáló felső ügyféltanúsítványa | Egy TLS-munkamenet, amelyet maga a proxy indít. |
Ezek a szerepek együtt is létezhetnek. Nem kell a webhely privát kulcsát egy egyszerű alagútproxira feltölteni ahhoz, hogy a cél mTLS működjön. A CONNECT átadása után használja az alkalmazás szokásos cél-ügyféltanúsítvány-beállítását, és folytassa a webhely kiszolgálótanúsítványának ellenőrzését.
Az Apache SSLProxyMachineCertificateFile hitelesítő adatokat szolgáltat, amikor az Apache létrehozza a saját felső TLS-munkamenetét. Az erről a fájlról szóló tanács nem bizonyítja, hogy minden átlátszatlan továbbítóalagutat használó ügyfélnek be kell állítania.
A TLS-megszakítás egy közvetítőnél zárja le a munkamenetet, és megváltoztatja ezt a tulajdonviszonyt. Állapítsa meg, hogy a szükséges ügyfélidentitás átjuthat-e ezen az elrendezésen, ahelyett hogy feltételezné, hogy egy tanúsítvány másolása megőrzi a végpontok közötti hitelesítést.
Hiba esetén jegyezze fel, hogy a kérés a proxybejelentkezésnél, a cél TLS szintjén vagy a későbbi alkalmazáscserénél állt-e meg. Helyezze a hitelesítő adatot arra a kapcsolatra, amely valóban kéri.