Bundel CA Cargo untuk Proxy dan Server Paket
Terapkan cainfo dan proxy-cainfo Cargo pada koneksi TLS yang tepat, bukan menganggap semua kegagalan sertifikat proxy sebagai satu masalah kepercayaan.
Untuk proxy HTTPS dan sumber paket HTTPS, Cargo dapat memverifikasi dua koneksi TLS dengan bundel CA berbeda:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Ganti endpoint dan jalur dengan nilai yang disetujui. Proxy ini memang memiliki listener TLS; proxy HTTP biasa tidak berubah menjadi HTTPS karena sumber paket memakai HTTPS.
| Tahap kegagalan | Pengaturan kepercayaan yang diperiksa |
|---|---|
| TLS proxy, sebelum ada terowongan ke tujuan | http.proxy-cainfo, yang menggunakan http.cainfo jika tidak diatur terpisah. |
| Sertifikat tujuan setelah terowongan terbentuk | http.cainfo untuk jalur kepercayaan tujuan. |
Variabel yang sesuai adalah CARGO_HTTP_PROXY_CAINFO dan CARGO_HTTP_CAINFO. Gunakan otoritas yang disetujui dan tepat; menyalin sertifikat sembarang ke kedua berkas tidak mengidentifikasi koneksi mana yang salah.
Proxy HTTP tanpa enkripsi yang membawa CONNECT tidak memiliki sertifikat TLS listener proxy untuk diverifikasi. Kesalahan tujuan dalam kasus itu tidak diperbaiki dengan mengarang berkas CA proxy. Periksa juga apakah jalur yang dikonfigurasi ada di dalam container atau pekerjaan CI yang sebenarnya, dan pertimbangkan perilaku sistem operasi serta backend TLS saat membandingkan lingkungan.
Biarkan verifikasi aktif. Verifikasi menyediakan pemeriksaan identitas yang diperlukan untuk membedakan layanan yang dituju dari transfer yang sekadar berlanjut.