Kto odosiela klientsky certifikát cez proxy?
Udržiavajte prihlasovacie údaje mTLS cieľa oddelene od údajov proxy a od certifikátov, ktoré Apache používa, keď vytvára vlastnú odchádzajúcu reláciu TLS.
Pri bežnom HTTPS cez CONNECT aplikácia odosiela klientsky certifikát webu počas vlastného TLS handshake s cieľom. Proxy iba preposiela bajty; automaticky sa nestáva TLS klientom webu.
| Prihlasovací údaj | Vlastník/spojenie |
|---|---|
| Používateľské meno/heslo proxy | Prístup klienta k proxy. |
| Klientsky certifikát webu a súkromný kľúč | TLS relácia aplikácie s cieľom. |
| Odchádzajúci klientsky certifikát proxy servera | TLS relácia, ktorú iniciuje samotná proxy. |
Tieto úlohy môžu existovať súčasne. Nahrávanie súkromného kľúča webu do jednoduchej tunelovej proxy nie je potrebné na to, aby mTLS k cieľu fungovalo. Po odovzdaní CONNECT použite obvyklú konfiguráciu klientskeho certifikátu cieľa v aplikácii a pokračujte v overovaní certifikátu servera webu.
SSLProxyMachineCertificateFile v Apache poskytuje prihlasovacie údaje, keď Apache vytvára vlastnú odchádzajúcu reláciu TLS. Rada o tomto súbore nedokazuje, že každý klient používajúci nepriehľadný presmerovací tunel ho musí nakonfigurovať.
Zachytávanie TLS ukončuje reláciu u prostredníka a mení toto vlastníctvo. Zistite, či požadovaná identita klienta môže prejsť týmto usporiadaním, namiesto toho, aby ste predpokladali, že kopírovanie certifikátu zachová overovanie medzi koncovými bodmi.
Pri zlyhaní zaznamenajte, či sa požiadavka zastavila pri prihlásení na proxy, pri TLS cieľa alebo pri neskoršej výmene aplikácie. Umiestnite prihlasovací údaj na spojenie, ktoré ho skutočne vyžaduje.