Cargos CA-samlinger for proxyen og pakkeserveren
Bruk Cargos cainfo og proxy-cainfo på riktig TLS-forbindelse i stedet for å behandle alle proxysertifikatfeil som samme tillitsproblem.
Med en HTTPS-proxy og en HTTPS-pakkekilde kan Cargo kontrollere to TLS-forbindelser med ulike CA-samlinger:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Erstatt endepunkt og stier med godkjente verdier. Denne proxyen har bevisst en TLS-lytter; en vanlig HTTP-proxy blir ikke HTTPS fordi pakkekilden bruker HTTPS.
| Feilstadium | Tillitsinnstilling som skal undersøkes |
|---|---|
| Proxy-TLS, før det finnes en tunnel til målet | http.proxy-cainfo, som faller tilbake på http.cainfo når den ikke er satt separat. |
| Målsertifikat etter at tunnelen er opprettet | http.cainfo for målets tillitssti. |
De tilsvarende variablene er CARGO_HTTP_PROXY_CAINFO og CARGO_HTTP_CAINFO. Bruk riktig godkjent sertifikatutsteder; å kopiere et tilfeldig sertifikat til begge filene viser ikke hvilken forbindelse som er feil.
En ukryptert HTTP-proxy som fører CONNECT, har ikke noe TLS-sertifikat på proxylytteren å kontrollere. En målfeil der løses ikke ved å finne på en proxy-CA-fil. Kontroller også at en konfigurert sti finnes inne i den faktiske containeren eller CI-jobben, og ta hensyn til operativsystemets og TLS-bakendens oppførsel når du sammenligner miljøer.
Hold kontrollen aktivert. Den gir identitetskontrollen som trengs for å skille den tiltenkte tjenesten fra en overføring som bare fortsetter.