Koristite odvojene TLS kontekste za urllib3 proxy i veb lokaciju

Učitajte klijentski sertifikat HTTPS proxyja u proxy_ssl_context, ostavljajući poverenje odredišta i bilo koji identitet klijenta odredišta na ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Koristite stvarno odobrene datoteke. proxy-roots.pem proverava posrednika; proxy-client.pem i njegov odgovarajući privatni ključ identifikuju ovog klijenta tom posredniku. origin_tls zadržava odvojenu politiku poverenja odredišta.

Šema https proxy URL-a je ključna za tu prvu TLS razmenu. Za HTTPS cilj urllib3 zatim šalje CONNECT unutar spoljne TLS sesije i obavlja TLS veb lokacije kroz tunel.

Ako veb lokacija takođe zahteva klijentski sertifikat, stavite ga na origin_tls. Ponovna upotreba proxy identiteta tamo bi autentifikovala drugu vezu.

Obični HTTP proxy koji prenosi HTTPS nema spoljni TLS rukovanje. Dodatni HTTP 407 je takođe odvojen: pružanje klijentskog sertifikata ne daje akreditive korisničkog imena/lozinke.

Povezani članci