Bruk separate TLS-kontekster for urllib3s proxy og nettsted

Last inn HTTPS-proxyens klientcertifikat i proxy_ssl_context, og la destinasjonens tillit og eventuell destinasjonsklientidentitet bli liggende på ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Bruk de faktisk godkjente filene. proxy-roots.pem verifiserer mellomleddet; proxy-client.pem og den tilhørende private nøkkelen identifiserer denne klienten overfor dette mellomleddet. origin_tls beholder destinasjonens separate tillitspolicy.

Proxy-URL-ens https-skjema er avgjørende for den første TLS-utvekslingen. For et HTTPS-mål sender urllib3 deretter CONNECT inne i den ytre TLS-økten og utfører nettstedets TLS gjennom tunnelen.

Hvis nettstedet også krever et klientcertifikat, legger du det på origin_tls. Gjenbruk av proxyidentiteten der ville autentisere en annen tilkobling.

En vanlig HTTP-proxy som frakter HTTPS har ingen ytre TLS-håndtrykk. En ekstra HTTP 407 er også separat: å oppgi et klientcertifikat gir ikke brukernavn/passord-påloggingsinformasjon.

Relaterte artikler