Używaj osobnych kontekstów TLS dla proxy i witryny urllib3

Załaduj certyfikat klienta proxy HTTPS do proxy_ssl_context, pozostawiając zaufanie celu i dowolną tożsamość klienta celu w ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Używaj rzeczywiście zatwierdzonych plików. proxy-roots.pem weryfikuje pośrednika; proxy-client.pem i odpowiadający mu klucz prywatny identyfikują tego klienta wobec tego pośrednika. origin_tls zachowuje odrębną politykę zaufania celu.

Schemat https adresu URL proxy jest niezbędny dla tej pierwszej wymiany TLS. Dla celu HTTPS urllib3 wysyła następnie CONNECT wewnątrz zewnętrznej sesji TLS i wykonuje TLS witryny przez tunel.

Jeśli witryna również wymaga certyfikatu klienta, umieść go w origin_tls. Ponowne użycie tożsamości proxy tam uwierzytelniłoby inne połączenie.

Zwykłe proxy HTTP przenoszące HTTPS nie ma zewnętrznego uścisku dłoni TLS. Dodatkowy 407 HTTP jest również odrębny: dostarczenie certyfikatu klienta nie zapewnia danych logowania nazwa użytkownika/hasło.

Powiązane artykuły