Kdo pošilja odjemalčevo potrdilo prek posrednika?
Hranite poverilnice mTLS cilja ločeno od poverilnic posrednika in od potrdil, ki jih Apache uporablja, ko ustvari lastno odhodno sejo TLS.
Pri običajnem HTTPS prek CONNECT aplikacija pošlje odjemalčevo potrdilo spletnega mesta med lastnim rokovanjem TLS s ciljem. Posrednik samo posreduje bajte; samodejno ne postane odjemalec TLS spletnega mesta.
| Poverilnica | Lastnik/povezava |
|---|---|
| Uporabniško ime/geslo posrednika | Dostop odjemalca do posrednika. |
| Odjemalčevo potrdilo in zasebni ključ spletnega mesta | Seja TLS aplikacije s ciljem. |
| Odhodno odjemalčevo potrdilo posredniškega strežnika | Seja TLS, ki jo začne posrednik sam. |
Te vloge lahko sobivajo. Za delovanje mTLS do cilja ni treba naložiti zasebnega ključa spletnega mesta na preprost tunelski posrednik. Po predaji CONNECT uporabite običajno nastavitev odjemalčevega potrdila cilja v aplikaciji in nadaljujte s preverjanjem potrdila strežnika spletnega mesta.
SSLProxyMachineCertificateFile v Apacheu zagotovi poverilnice, ko Apache ustvari lastno odhodno sejo TLS. Nasvet o tej datoteki ne dokazuje, da jo mora vsak odjemalec, ki uporablja neprozoren posredovalni tunel, nastaviti.
Prestrezanje TLS konča sejo pri posredniku in spremeni to lastništvo. Ugotovite, ali lahko zahtevana identiteta odjemalca preide skozi tako ureditev, namesto da predpostavite, da kopiranje potrdila ohrani overjanje od konca do konca.
Ob napaki zabeležite, ali se je zahteva ustavila pri prijavi v posrednik, pri TLS cilja ali pri poznejši izmenjavi aplikacije. Poverilnico postavite na povezavo, ki jo dejansko zahteva.