Wien schéckt de Clientzertifikat duerch e Proxy?
Halt d'mTLS-Identitéite vun der Destinatioun getrennt vun de Proxy-Identitéiten an vun de Zertifikater, déi Apache benotzt, wann et seng eegen Upstream-TLS-Sessioun opstellt.
Bei gewéinlechem HTTPS iwwer CONNECT schéckt d'Applikatioun de Clientzertifikat vun der Websäit wärend sengem eegene TLS-Handshake mat der Destinatioun. De Proxy leet just Bytes weider; en gëtt net automatesch den TLS-Client vun der Websäit.
| Identitéit | Besëtzer/Verbindung |
|---|---|
| Proxy-Benotzernumm/Passwuert | Zougang vum Client zum Proxy. |
| Clientzertifikat an privaten Schlëssel vun der Websäit | TLS-Sessioun vun der Applikatioun mat der Destinatioun. |
| Upstream-Clientzertifikat vum Proxy-Server | Eng TLS-Sessioun, déi de Proxy selwer ufänkt. |
Dës Rollen kënnen zesumme bestoen. Et ass net néideg, de private Schlëssel vun der Websäit op en einfachen Tunnelproxy erofzelueden, fir datt mTLS zur Destinatioun funktionnéiert. No der CONNECT-Iwwergabe benotzt Dir d'üblech Konfiguratioun vum Clientzertifikat vun der Destinatioun an der Applikatioun a fuert weider de Serverzertifikat vun der Websäit ze verifizéieren.
SSLProxyMachineCertificateFile vum Apache liwwert Identitéiten, wann Apache seng eege Upstream-TLS-Sessioun opstellt. Rot iwwer déi Datei beweist net, datt all Client, deen en unduerchsichtegen Forward-Tunnel benotzt, se konfiguréiere muss.
TLS-Interceptioun beendet eng Sessioun bei engem Zwëschenhändler an ännert dës Proprietéit. Fannt eraus, ob déi erfuerderlech Clientidentitéit duerch dës Arrangement ka goen, amplaz unzehuelen, datt d'Kopéiere vun engem Zertifikat d'End-zu-End-Authentifikatioun erhält.
Bei engem Feeler notéiert, ob d'Ufro beim Proxy-Login, bei der TLS vun der Destinatioun oder beim spéideren Applikatiounsaustausch gestoppt ass. Setzt d'Identitéit op d'Verbindung, déi se wierklech verlaangt.