Bundle CA di Cargo per proxy e server dei pacchetti
Applica cainfo e proxy-cainfo di Cargo alla connessione TLS corretta, senza trattare tutti gli errori di certificato del proxy come un unico problema di fiducia.
Con un proxy HTTPS e una sorgente di pacchetti HTTPS, Cargo può verificare due connessioni TLS con bundle CA diversi:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Sostituisci endpoint e percorsi con i valori approvati. Questo proxy dispone intenzionalmente di un listener TLS; un normale proxy HTTP non diventa HTTPS perché la sorgente dei pacchetti usa HTTPS.
| Fase dell’errore | Impostazione di fiducia da controllare |
|---|---|
| TLS del proxy, prima che esista un tunnel verso la destinazione | http.proxy-cainfo, che ripiega su http.cainfo quando non è impostato separatamente. |
| Certificato della destinazione dopo la creazione del tunnel | http.cainfo per il percorso di fiducia della destinazione. |
Le variabili corrispondenti sono CARGO_HTTP_PROXY_CAINFO e CARGO_HTTP_CAINFO. Usa l’autorità approvata appropriata; copiare un certificato casuale in entrambi i file non identifica quale connessione sia errata.
Un proxy HTTP in chiaro che trasporta CONNECT non ha un certificato TLS del listener proxy da verificare. Un errore della destinazione in quel caso non si corregge inventando un file CA per il proxy. Controlla anche che il percorso configurato esista nel container o job CI effettivo e considera il comportamento del sistema operativo e del backend TLS quando confronti ambienti diversi.
Mantieni la verifica attiva. Fornisce il controllo d’identità necessario per distinguere il servizio previsto da un trasferimento che semplicemente prosegue.