Kas siunčia kliento sertifikatą per tarpinį serverį?
Laikykite paskirties mTLS kredencialus atskirai nuo tarpinio serverio kredencialų ir nuo sertifikatų, kuriuos Apache naudoja kurdamas savo aukštesnę TLS sesiją.
Įprasto HTTPS per CONNECT atveju programa siunčia svetainės kliento sertifikatą savo paties TLS rankos paspaudimo su paskirtimi metu. Tarpinis serveris tik perduoda baitus; jis automatiškai netampa svetainės TLS klientu.
| Kredencialas | Savininkas/ryšys |
|---|---|
| Tarpinio serverio vartotojo vardas/slaptažodis | Kliento prieiga prie tarpinio serverio. |
| Svetainės kliento sertifikatas ir privatusis raktas | Programos TLS sesija su paskirtimi. |
| Tarpinio serverio aukštesnysis kliento sertifikatas | TLS sesija, kurią inicijuoja pats tarpinis serveris. |
Šie vaidmenys gali egzistuoti kartu. Nereikia įkelti svetainės privataus rakto į paprastą tunelinį tarpinį serverį, kad paskirties mTLS veiktų. Po CONNECT perdavimo naudokite įprastą programos paskirties kliento sertifikato konfigūraciją ir toliau tikrinkite svetainės serverio sertifikatą.
Apache SSLProxyMachineCertificateFile pateikia kredencialus, kai Apache sukuria savo aukštesnę TLS sesiją. Patarimas dėl šio failo neįrodo, kad kiekvienas klientas, naudojantis nepermatomą perdavimo tunelį, privalo jį sukonfigūruoti.
TLS perėmimas užbaigia sesiją tarpininko lygmenyje ir pakeičia šią nuosavybę. Nustatykite, ar reikiamas kliento identitetas gali praeiti per tokią tvarką, o ne manykite, kad sertifikato kopijavimas išsaugo autentifikavimą nuo galo iki galo.
Nesėkmės atveju užrašykite, ar užklausa sustojo tarpinio serverio prisijungime, ties paskirties TLS, ar vėlesniame programos pasikeitime. Įdėkite kredencialą į tą ryšį, kuris jo iš tikrųjų prašo.