Zestawy CA Cargo dla proxy i serwera pakietów
Stosuj cainfo i proxy-cainfo Cargo do właściwego połączenia TLS, zamiast traktować każdy błąd certyfikatu proxy jako ten sam problem zaufania.
Przy proxy HTTPS i źródle pakietów HTTPS Cargo może weryfikować dwa połączenia TLS różnymi zestawami CA:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Zastąp punkt końcowy i ścieżki zatwierdzonymi wartościami. To proxy celowo ma nasłuch TLS; zwykłe proxy HTTP nie staje się HTTPS dlatego, że źródło pakietów używa HTTPS.
| Etap błędu | Ustawienie zaufania do sprawdzenia |
|---|---|
| TLS proxy przed powstaniem tunelu do celu | http.proxy-cainfo; jeśli nie ustawiono osobno, używane jest http.cainfo. |
| Certyfikat celu po zestawieniu tunelu | http.cainfo dla ścieżki zaufania do celu. |
Odpowiednie zmienne to CARGO_HTTP_PROXY_CAINFO i CARGO_HTTP_CAINFO. Użyj właściwego zatwierdzonego urzędu certyfikacji; skopiowanie przypadkowego certyfikatu do obu plików nie ustali, które połączenie jest błędne.
Nieszyfrowane proxy HTTP przenoszące CONNECT nie ma certyfikatu TLS nasłuchu proxy do zweryfikowania. Błędu celu w takim przypadku nie naprawi wymyślony plik CA proxy. Sprawdź też, czy skonfigurowana ścieżka istnieje we właściwym kontenerze lub zadaniu CI, i uwzględnij zachowanie systemu operacyjnego oraz zaplecza TLS podczas porównywania środowisk.
Pozostaw weryfikację włączoną. Zapewnia ona sprawdzenie tożsamości potrzebne do odróżnienia zamierzonej usługi od transferu, który jedynie trwa dalej.