Use contextos TLS separados para o proxy e o site da urllib3

Carregue o certificado de cliente do proxy HTTPS em proxy_ssl_context, deixando a confiança do destino e qualquer identidade de cliente do destino em ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Use os arquivos realmente aprovados. proxy-roots.pem verifica o intermediário; proxy-client.pem e sua chave privada correspondente identificam este cliente perante esse intermediário. origin_tls mantém a política de confiança separada do destino.

O esquema https da URL do proxy é essencial para essa primeira troca TLS. Para um destino HTTPS, a urllib3 então envia CONNECT dentro da sessão TLS externa e realiza o TLS do site pelo túnel.

Se o site também exigir um certificado de cliente, coloque-o em origin_tls. Reutilizar ali a identidade do proxy autenticaria uma conexão diferente.

Um proxy HTTP comum que transporta HTTPS não tem handshake TLS externo. Um 407 HTTP adicional também é separado: fornecer um certificado de cliente não fornece credenciais de usuário/senha.

Artigos relacionados