Paketat CA të Cargo për proxy-n dhe serverin e paketave
Zbatoni cainfo dhe proxy-cainfo të Cargo në lidhjen e saktë TLS, jo duke trajtuar çdo gabim certifikate proxy si të njëjtin problem besimi.
Për një proxy HTTPS dhe një burim paketash HTTPS, Cargo mund të verifikojë dy lidhje TLS me paketa CA të ndryshme:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Zëvendësoni pikën fundore dhe shtigjet me vlerat e miratuara. Ky proxy ka qëllimisht një dëgjues TLS; një proxy HTTP i zakonshëm nuk bëhet HTTPS sepse burimi i paketave përdor HTTPS.
| Faza e dështimit | Cilësimi i besimit për t’u kontrolluar |
|---|---|
| TLS i proxy-t, para se të ekzistojë tunel drejt destinacionit | http.proxy-cainfo, që përdor http.cainfo kur nuk caktohet veçmas. |
| Certifikata e destinacionit pas krijimit të tunelit | http.cainfo për rrugën e besimit të destinacionit. |
Ndryshoret përkatëse janë CARGO_HTTP_PROXY_CAINFO dhe CARGO_HTTP_CAINFO. Përdorni autoritetin e duhur të miratuar; kopjimi i një certifikate të rastësishme në të dy skedarët nuk tregon cila lidhje është e gabuar.
Një proxy HTTP i pakriptuar që mbart CONNECT nuk ka certifikatë TLS të dëgjuesit proxy për t’u verifikuar. Një gabim i destinacionit aty nuk ndreqet duke shpikur një skedar CA të proxy-t. Kontrolloni gjithashtu që shtegu i konfiguruar ekziston brenda kontejnerit ose detyrës CI reale dhe merrni parasysh sjelljen e sistemit operativ e të mekanizmit TLS kur krahasoni mjediset.
Mbajeni verifikimin aktiv. Ai siguron kontrollin e identitetit që nevojitet për të dalluar shërbimin e synuar nga një transferim që thjesht vazhdon.