Kush e dërgon certifikatën e klientit përmes një proxy?
Mbani kredencialet mTLS të destinacionit të ndara nga kredencialet e proxy-t dhe nga certifikatat që Apache përdor kur krijon sesionin e vet TLS në rrjedhën lart.
Në HTTPS përmes CONNECT të zakonshëm, aplikacioni dërgon certifikatën e klientit të faqes gjatë shtrëngimit të dorës TLS të vetë destinacionit. Proxy vetëm përcjell bajt; nuk bëhet automatikisht klienti TLS i faqes.
| Kredencial | Pronari/lidhja |
|---|---|
| Emri i përdoruesit/fjalëkalimi i proxy-t | Aksesi i klientit në proxy. |
| Certifikata e klientit dhe çelësi privat i faqes | Sesioni TLS i aplikacionit me destinacionin. |
| Certifikata e klientit në rrjedhën lart e serverit proxy | Një sesion TLS që proxy e nis vetë. |
Këto role mund të bashkëjetojnë. Ngarkimi i çelësit privat të faqes në një proxy tuneli të thjeshtë nuk kërkohet që mTLS drejt destinacionit të funksionojë. Pas dorëzimit CONNECT, përdorni konfigurimin e zakonshëm të certifikatës së klientit të destinacionit në aplikacion dhe vazhdoni të verifikoni certifikatën e serverit të faqes.
SSLProxyMachineCertificateFile i Apache siguron kredenciale kur Apache krijon sesionin e vet TLS në rrjedhën lart. Këshilla për atë skedar nuk vërteton se çdo klient që përdor një tunel përçues të errët duhet ta konfigurojë atë.
Ndërhyrja TLS e përfundon një sesion te një ndërmjetës dhe ndryshon këtë pronësi. Përcaktoni nëse identiteti i kërkuar i klientit mund të kalojë nëpër atë rregullim, në vend që të supozoni se kopjimi i një certifikate ruan vërtetimin nga skaji në skaj.
Në rast dështimi, shënoni nëse kërkesa u ndal në hyrjen në proxy, në TLS e destinacionit apo në shkëmbimin e mëvonshëm të aplikacionit. Vendosni kredencialin në lidhjen që e kërkon vërtet.