UnboundID умеет размещать LDAPS внутри туннеля HTTP CONNECT

Используйте HTTPProxySocketFactory с фабрикой TLS-сокетов и учитывайте отсутствие прямой поддержки аутентификации через прокси.

UnboundID LDAP SDK 7.0.5 предоставляет HTTPProxySocketFactory для маршрута HTTP CONNECT. Передайте фабрику TLS-сокетов приложения, когда пунктом назначения является LDAPS:

var proxyFactory =
    new com.unboundid.util.HTTPProxySocketFactory(
        "proxy.example.net", 8080, 10000, ldapsTlsFactory);

ldapsTlsFactory — это SSLSocketFactory приложения с нужной конфигурацией доверия к серверу. Передайте proxyFactory в конструктор LDAPConnection, принимающий фабрику сокетов, а также фактические имя хоста и порт LDAP-сервера.

Настройте также проверку имени хоста соединения. SDK предоставляет HostNameSSLSocketVerifier через LDAPConnectionOptions; доверие только издателю сертификата — не та же проверка, что сопоставление с нужным хостом LDAP.

HTTP-прокси должен разрешать CONNECT к этому назначению, часто это порт 636 для LDAPS. Прокси, ограниченный портами веб-назначений, может отклонить его.

Документированные ограничения фабрики важны: связь с самим прокси не шифруется TLS, и она не поддерживает напрямую аутентификацию HTTP-прокси. Передача TLS-фабрики для LDAPS защищает последующее соединение с каталогом, а не добавляет недостающий механизм входа через прокси.

Похожие статьи