Cargos CA-samlingar för proxyn och paketservern
Använd Cargos cainfo och proxy-cainfo för rätt TLS-anslutning i stället för att behandla alla proxycertifikatfel som samma tillitsproblem.
Med en HTTPS-proxy och en HTTPS-paketkälla kan Cargo kontrollera två TLS-anslutningar med olika CA-samlingar:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Ersätt ändpunkt och sökvägar med godkända värden. Den här proxyn har avsiktligt en TLS-lyssnare; en vanlig HTTP-proxy blir inte HTTPS för att paketkällan använder HTTPS.
| Felstadium | Tillitsinställning att granska |
|---|---|
| Proxy-TLS, innan en tunnel till målet finns | http.proxy-cainfo, som faller tillbaka på http.cainfo när den inte ställts in separat. |
| Målcertifikat efter att tunneln upprättats | http.cainfo för målets tillitskedja. |
Motsvarande variabler är CARGO_HTTP_PROXY_CAINFO och CARGO_HTTP_CAINFO. Använd rätt godkänd certifikatutfärdare; att kopiera ett slumpmässigt certifikat till båda filerna identifierar inte vilken anslutning som är fel.
En okrypterad HTTP-proxy som förmedlar CONNECT har inget TLS-certifikat på proxylyssnaren att kontrollera. Ett målfel där rättas inte genom att hitta på en proxy-CA-fil. Kontrollera även att en inställd sökväg finns i den faktiska containern eller CI-jobbet, och beakta operativsystemets och TLS-bakändens beteende när du jämför miljöer.
Låt verifieringen vara aktiverad. Den ger identitetskontrollen som behövs för att skilja den avsedda tjänsten från en överföring som bara fortsätter.