Отдельные контексты TLS для прокси и сайта urllib3

Загрузите клиентский сертификат HTTPS-прокси в proxy_ssl_context, оставив доверие к назначению и любую идентичность клиента назначения в ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Используйте фактические утверждённые файлы. proxy-roots.pem проверяет посредника; proxy-client.pem и соответствующий закрытый ключ идентифицируют этого клиента перед этим посредником. origin_tls сохраняет отдельную политику доверия назначения.

Схема https в URL прокси необходима для этого первого обмена TLS. Для цели HTTPS urllib3 затем отправляет CONNECT внутри внешней сессии TLS и выполняет TLS сайта через туннель.

Если сайту также нужен клиентский сертификат, поместите его в origin_tls. Повторное использование идентичности прокси там аутентифицировало бы другое соединение.

Обычный HTTP-прокси, передающий HTTPS, не имеет внешнего рукопожатия TLS. Дополнительный HTTP 407 тоже отдельный: предоставление клиентского сертификата не даёт учётных данных имени пользователя/пароля.

Похожие статьи