Siapa yang Mengirim Sertifikat Klien Melalui Proxy?
Pisahkan kredensial mTLS tujuan dari kredensial proxy dan dari sertifikat yang dipakai Apache saat membuat sesi TLS hulunya sendiri.
Pada HTTPS melalui CONNECT biasa, aplikasi mengirim sertifikat klien situs web selama jabat tangan TLS tujuannya sendiri. Proxy hanya meneruskan byte; proxy tidak otomatis menjadi klien TLS situs web.
| Kredensial | Pemilik/koneksi |
|---|---|
| Nama pengguna/kata sandi proxy | Akses klien ke proxy. |
| Sertifikat klien dan kunci privat situs web | Sesi TLS aplikasi dengan tujuan. |
| Sertifikat klien hulu server proxy | Sesi TLS yang dimulai proxy itu sendiri. |
Peran-peran ini dapat hidup berdampingan. Mengunggah kunci privat situs web ke proxy terowongan biasa tidak diperlukan agar mTLS tujuan berfungsi. Setelah penyerahan CONNECT, gunakan konfigurasi sertifikat klien tujuan yang normal pada aplikasi dan terus verifikasi sertifikat server situs web.
SSLProxyMachineCertificateFile Apache menyediakan kredensial saat Apache membuat sesi TLS hulunya sendiri. Saran tentang berkas itu tidak membuktikan bahwa setiap klien yang memakai terowongan penerusan buram harus mengonfigurasinya.
Penyadapan TLS mengakhiri sesi di perantara dan mengubah kepemilikan ini. Pastikan apakah identitas klien yang diperlukan dapat melewati susunan itu, bukan menganggap penyalinan sertifikat mempertahankan autentikasi ujung ke ujung.
Saat gagal, catat apakah permintaan berhenti di login proxy, di TLS tujuan, atau di pertukaran aplikasi berikutnya. Letakkan kredensial pada koneksi yang benar-benar memintanya.