ชุด CA ของ Cargo สำหรับพร็อกซีและเซิร์ฟเวอร์แพ็กเกจ

ใช้ cainfo และ proxy-cainfo ของ Cargo กับการเชื่อมต่อ TLS ที่ถูกต้อง แทนการถือว่าข้อผิดพลาดใบรับรองพร็อกซีทั้งหมดเป็นปัญหาความเชื่อถือเดียวกัน

สำหรับพร็อกซี HTTPS และแหล่งแพ็กเกจ HTTPS นั้น Cargo สามารถตรวจสอบ การเชื่อมต่อ TLS สองช่วงด้วยชุด CA ต่างกัน:

[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"

แทนที่ปลายทางและพาธด้วยค่าที่ได้รับอนุมัติ พร็อกซีนี้มี TLS listener โดยตั้งใจ ส่วน พร็อกซี HTTP ทั่วไปไม่ได้กลายเป็น HTTPS เพราะแหล่งแพ็กเกจใช้ HTTPS

ขั้นตอนที่ล้มเหลวการตั้งค่าความเชื่อถือที่ต้องตรวจสอบ
TLS ของพร็อกซีก่อนมีทันเนลไปยังปลายทางhttp.proxy-cainfo ซึ่งจะใช้ http.cainfo หากไม่ได้ตั้งแยกไว้
ใบรับรองปลายทางหลังสร้างทันเนลhttp.cainfo สำหรับเส้นทางความเชื่อถือของปลายทาง

ตัวแปรที่สอดคล้องกันคือ CARGO_HTTP_PROXY_CAINFO และ CARGO_HTTP_CAINFO ใช้หน่วยงานออกใบรับรองที่เหมาะสมและได้รับอนุมัติ การคัดลอกใบรับรองสุ่มลงทั้งสองไฟล์ไม่ได้ระบุว่าการเชื่อมต่อใดมีปัญหา

พร็อกซี HTTP แบบไม่เข้ารหัสที่รับส่ง CONNECT ไม่มีใบรับรอง TLS ของ proxy listener ให้ตรวจสอบ ข้อผิดพลาดที่ปลายทางในกรณีนี้แก้ไม่ได้ด้วยการสร้างไฟล์ CA ของพร็อกซีขึ้นตามคาดเดา ตรวจสอบด้วยว่าพาธที่ตั้งไว้มีอยู่ในคอนเทนเนอร์หรืองาน CI จริง และคำนึงถึงพฤติกรรมของระบบปฏิบัติการกับ TLS backend เมื่อเปรียบเทียบสภาพแวดล้อม

เปิดการตรวจสอบไว้ การตรวจสอบนี้ยืนยันตัวตนที่จำเป็นเพื่อแยกบริการที่ต้องการออกจากการถ่ายโอนที่เพียงดำเนินต่อไปได้

บทความที่เกี่ยวข้อง