Прокси арқылы клиент сертификатын кім жібереді?
Мақсаттың mTLS тіркелгі деректерін прокси деректерінен және Apache өзінің жоғары TLS сессиясын жасағанда қолданатын сертификаттардан бөлек ұстаңыз.
Кәдімгі CONNECT арқылы HTTPS кезінде қолданба веб-сайттың клиент сертификатын өзінің мақсатқа қарай TLS қол алысуы барысында жібереді. Прокси тек байттарды жеткізеді; ол автоматты түрде веб-сайттың TLS клиентіне айналмайды.
| Тіркелгі дерегі | Иесі/қосылым |
|---|---|
| Прокси пайдаланушы аты/құпия сөзі | Клиенттің проксиге кіруі. |
| Веб-сайттың клиент сертификаты мен жеке кілті | Қолданбаның мақсатпен TLS сессиясы. |
| Прокси серверінің жоғары клиент сертификаты | Прокси өзі бастайтын TLS сессиясы. |
Бұл рөлдер қатар өмір сүре алады. Мақсатты mTLS жұмыс істеуі үшін веб-сайттың жеке кілтін қарапайым туннельдік проксиге жүктеу қажет емес. CONNECT берілісінен кейін қолданбаның әдеттегі мақсатты клиент сертификаты конфигурациясын пайдаланып, веб-сайт серверінің сертификатын тексеруді жалғастырыңыз.
Apache-тің SSLProxyMachineCertificateFile параметрі Apache өзінің жоғары TLS сессиясын жасағанда тіркелгі деректерін береді. Бұл файл туралы кеңес мөлдір емес форвардтық туннельді пайдаланатын әрбір клиент оны конфигурациялауы керек деп дәлелдемейді.
TLS араласуы сессияны делдалда аяқтайды және бұл иелікті өзгертеді. Сертификатты көшіру ұшынан ұшына аутентификацияны сақтайды деп болжаудың орнына, қажетті клиенттік сәйкестіктің сол құрылымнан өте алатынын анықтаңыз.
Сәтсіздік кезінде сұрау проксиге кіруде, мақсатты TLS-те немесе кейінгі қолданба алмасуында тоқтағанын жазып алыңыз. Тіркелгі дерегін оны шынымен талап ететін қосылымға қойыңыз.