Folosiți contexte TLS separate pentru proxy și site-ul urllib3

Încărcați certificatul de client al proxy-ului HTTPS în proxy_ssl_context, lăsând încrederea destinației și orice identitate de client a destinației pe ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Folosiți fișierele aprobate efectiv. proxy-roots.pem verifică intermediarul; proxy-client.pem și cheia sa privată corespunzătoare identifică acest client în fața acelui intermediar. origin_tls păstrează politica separată de încredere a destinației.

Schema https a URL-ului proxy este esențială pentru acea primă schimbare TLS. Pentru o țintă HTTPS, urllib3 trimite apoi CONNECT în sesiunea TLS exterioară și efectuează TLS-ul site-ului prin tunel.

Dacă site-ul cere și un certificat de client, puneți-l pe origin_tls. Reutilizarea identității proxy acolo ar autentifica o altă conexiune.

Un proxy HTTP obișnuit care transportă HTTPS nu are niciun handshake TLS exterior. Un 407 HTTP suplimentar este și el separat: furnizarea unui certificat de client nu oferă credențiale de utilizator/parolă.

Articole similare