Наборы CA Cargo для прокси и сервера пакетов
Применяйте cainfo и proxy-cainfo Cargo к нужному TLS-соединению, не считая все ошибки сертификатов прокси одной проблемой доверия.
Для HTTPS-прокси и HTTPS-источника пакетов Cargo может проверять два TLS-соединения с разными наборами CA:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Замените конечную точку и пути одобренными значениями. Этот прокси намеренно имеет TLS-слушатель; обычный HTTP-прокси не становится HTTPS оттого, что источник пакетов использует HTTPS.
| Этап сбоя | Проверяемая настройка доверия |
|---|---|
| TLS прокси до создания туннеля к назначению | http.proxy-cainfo; если не задан отдельно, используется http.cainfo. |
| Сертификат назначения после создания туннеля | http.cainfo для пути доверия к назначению. |
Соответствующие переменные — CARGO_HTTP_PROXY_CAINFO и CARGO_HTTP_CAINFO. Используйте подходящий одобренный центр сертификации; копирование случайного сертификата в оба файла не определит, какое соединение ошибочно.
У незашифрованного HTTP-прокси, передающего CONNECT, нет TLS-сертификата слушателя прокси для проверки. Ошибку назначения в таком случае не исправить выдуманным файлом CA прокси. Также проверьте наличие настроенного пути внутри фактического контейнера или задания CI и учитывайте поведение операционной системы и TLS-бэкенда при сравнении сред.
Оставляйте проверку включённой. Она проверяет идентичность, позволяя отличить нужный сервис от передачи, которая просто продолжается.