CA-bundels van Cargo voor proxy en pakketserver
Pas Cargos cainfo en proxy-cainfo toe op de juiste TLS-verbinding in plaats van iedere proxycertificaatfout als hetzelfde vertrouwensprobleem te behandelen.
Bij een HTTPS-proxy en een HTTPS-pakketbron kan Cargo twee TLS-verbindingen met verschillende CA-bundels controleren:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Vervang eindpunt en paden door goedgekeurde waarden. Deze proxy heeft bewust een TLS-listener; een gewone HTTP-proxy wordt niet HTTPS doordat de pakketbron HTTPS gebruikt.
| Fase van de fout | Te controleren vertrouwensinstelling |
|---|---|
| Proxy-TLS, voordat een tunnel naar het doel bestaat | http.proxy-cainfo, dat terugvalt op http.cainfo als het niet apart is ingesteld. |
| Doelcertificaat na het opzetten van de tunnel | http.cainfo voor het vertrouwenspad naar het doel. |
De bijbehorende variabelen zijn CARGO_HTTP_PROXY_CAINFO en CARGO_HTTP_CAINFO. Gebruik de juiste goedgekeurde certificaatautoriteit; een willekeurig certificaat naar beide bestanden kopiëren laat niet zien welke verbinding fout is.
Een onversleutelde HTTP-proxy die CONNECT vervoert, heeft geen TLS-certificaat op de proxylistener om te controleren. Een doelfout wordt daar niet verholpen door een proxy-CA-bestand te verzinnen. Controleer ook of een ingesteld pad in de daadwerkelijke container of CI-taak bestaat en houd bij het vergelijken van omgevingen rekening met het gedrag van het besturingssysteem en de TLS-backend.
Houd verificatie ingeschakeld. Die geeft de identiteitscontrole waarmee je de bedoelde dienst onderscheidt van een overdracht die alleen maar doorgaat.