Siapa Menghantar Sijil Klien Melalui Proksi?
Asingkan kelayakan mTLS destinasi daripada kelayakan proksi dan daripada sijil yang digunakan Apache apabila ia mencipta sesi TLS hulunya sendiri.
Dalam HTTPS melalui CONNECT biasa, aplikasi menghantar sijil klien tapak web semasa jabat tangan TLS destinasinya sendiri. Proksi hanya menyampaikan bait; ia tidak menjadi klien TLS tapak web secara automatik.
| Kelayakan | Pemilik/sambungan |
|---|---|
| Nama pengguna/kata laluan proksi | Akses klien ke proksi. |
| Sijil klien dan kunci peribadi tapak web | Sesi TLS aplikasi dengan destinasi. |
| Sijil klien huluan pelayan proksi | Sesi TLS yang dimulakan oleh proksi itu sendiri. |
Peranan ini boleh wujud bersama. Memuat naik kunci peribadi tapak web ke proksi terowong biasa tidak diperlukan untuk menjadikan mTLS destinasi berfungsi. Selepas penyerahan CONNECT, gunakan konfigurasi sijil klien destinasi biasa aplikasi dan teruskan mengesahkan sijil pelayan tapak web.
SSLProxyMachineCertificateFile Apache membekalkan kelayakan apabila Apache mencipta sesi TLS huluan sendiri. Nasihat tentang fail itu tidak membuktikan bahawa setiap klien yang menggunakan terowong penghantaran legap mesti mengkonfigurasikannya.
Pintasan TLS menamatkan sesi di perantara dan mengubah pemilikan ini. Tentukan sama ada identiti klien yang diperlukan boleh melalui susunan itu, bukannya menganggap penyalinan sijil mengekalkan pengesahan hujung ke hujung.
Apabila gagal, catat sama ada permintaan berhenti di log masuk proksi, di TLS destinasi atau di pertukaran aplikasi kemudian. Letakkan kelayakan pada sambungan yang benar-benar memintanya.