Använd separata TLS-kontexter för urllib3s proxy och webbplats

Läs in HTTPS-proxyns klientcertifikat i proxy_ssl_context och låt destinationens förtroende och eventuell destinationsklientidentitet ligga kvar på ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Använd de faktiskt godkända filerna. proxy-roots.pem verifierar mellanledningen; proxy-client.pem och dess matchande privata nyckel identifierar denna klient mot den mellanledningen. origin_tls behåller destinationens separata förtroendepolicy.

Proxy-URL:ens https-schema är avgörande för det första TLS-utbytet. För ett HTTPS-mål skickar urllib3 sedan CONNECT inuti den yttre TLS-sessionen och utför webbplatsens TLS genom tunneln.

Om webbplatsen också kräver ett klientcertifikat, lägg det på origin_tls. Återanvändning av proxyidentiteten där skulle autentisera en annan anslutning.

En vanlig HTTP-proxy som transporterar HTTPS har ingen yttre TLS-handskakning. En extra HTTP 407 är också separat: att tillhandahålla ett klientcertifikat ger inte användarnamn/lösenordsuppgifter.

Relaterade artiklar