Kas sūta klienta sertifikātu caur starpniekserveri?
Turiet galamērķa mTLS akreditācijas datus atsevišķi no starpniekservera datiem un no sertifikātiem, ko Apache izmanto, veidojot savu augšupējo TLS sesiju.
Parastā HTTPS caur CONNECT gadījumā lietojumprogramma sūta vietnes klienta sertifikātu sava TLS rokasspiediena ar galamērķi laikā. Starpniekserveris tikai pārsūta baitus; tas automātiski nekļūst par vietnes TLS klientu.
| Akreditācijas dati | Īpašnieks/savienojums |
|---|---|
| Starpniekservera lietotājvārds/ parole | Klienta piekļuve starpniekserverim. |
| Vietnes klienta sertifikāts un privātā atslēga | Lietojumprogrammas TLS sesija ar galamērķi. |
| Starpniekservera augšupējais klienta sertifikāts | TLS sesija, ko ierosina pats starpniekserveris. |
Šīs lomas var pastāvēt līdztekus. Nav jāaugšupielādē vietnes privātā atslēga vienkāršā tuneļa starpniekserverī, lai galamērķa mTLS darbotos. Pēc CONNECT nodošanas izmantojiet lietojumprogrammas parasto galamērķa klienta sertifikāta konfigurāciju un turpiniet pārbaudīt vietnes servera sertifikātu.
Apache SSLProxyMachineCertificateFile nodrošina akreditācijas datus, kad Apache veido savu augšupējo TLS sesiju. Padoms par šo failu nepierāda, ka ikvienam klientam, kas izmanto necaurspīdīgu pāradresācijas tuneli, tas ir jākonfigurē.
TLS pārtveršana pārtrauc sesiju starpniekā un maina šo īpašumtiesību. Noskaidrojiet, vai nepieciešamā klienta identitāte var iziet cauri šim izkārtojumam, tā vietā lai pieņemtu, ka sertifikāta kopēšana saglabā autentifikāciju no gala līdz galam.
Kļūmes gadījumā pierakstiet, vai pieprasījums apstājās starpniekservera pieteikšanās vietā, pie galamērķa TLS vai vēlākā lietojumprogrammas apmaiņā. Novietojiet akreditācijas datus uz tā savienojuma, kas tos patiešām pieprasa.