Kto wysyła certyfikat klienta przez proxy?
Trzymaj poświadczenia mTLS celu osobno od poświadczeń proxy i od certyfikatów, których Apache używa, tworząc własną sesję TLS do nadrzędnego serwera.
W zwykłym HTTPS przez CONNECT aplikacja wysyła certyfikat klienta witryny podczas własnego uścisku dłoni TLS z celem. Proxy tylko przekazuje bajty; nie staje się automatycznie klientem TLS witryny.
| Poświadczenie | Właściciel/połączenie |
|---|---|
| Nazwa użytkownika/hasło proxy | Dostęp klienta do proxy. |
| Certyfikat klienta i klucz prywatny witryny | Sesja TLS aplikacji z celem. |
| Wychodzący certyfikat klienta serwera proxy | Sesja TLS inicjowana przez samo proxy. |
Te role mogą współistnieć. Przesłanie klucza prywatnego witryny do prostego proxy tunelującego nie jest potrzebne, aby mTLS do celu działał. Po przekazaniu CONNECT użyj zwykłej konfiguracji certyfikatu klienta celu w aplikacji i kontynuuj weryfikację certyfikatu serwera witryny.
SSLProxyMachineCertificateFile Apacha dostarcza poświadczenia, gdy Apache tworzy własną wychodzącą sesję TLS. Porada dotycząca tego pliku nie dowodzi, że każdy klient korzystający z nieprzejrzystego tunelu przekazującego musi go skonfigurować.
Przechwytywanie TLS kończy sesję u pośrednika i zmienia tę własność. Ustal, czy wymagana tożsamość klienta może przejść przez taki układ, zamiast zakładać, że skopiowanie certyfikatu zachowuje uwierzytelnianie od końca do końca.
Przy awarii zapisz, czy żądanie zatrzymało się na logowaniu do proxy, na TLS celu czy na późniejszej wymianie aplikacji. Umieść poświadczenie na połączeniu, które naprawdę go wymaga.