İstemci Sertifikasını Proxy Üzerinden Kim Gönderir?
Hedefin mTLS kimlik bilgilerini proxy kimlik bilgilerinden ve Apache'nin kendi yukarı akış TLS oturumunu oluştururken kullandığı sertifikalardan ayrı tutun.
Olağan CONNECT üzerinden HTTPS durumunda uygulama, web sitesinin istemci sertifikasını kendi hedef TLS el sıkışması sırasında gönderir. Proxy yalnızca baytları iletir; otomatik olarak web sitesinin TLS istemcisi olmaz.
| Kimlik bilgisi | Sahip/bağlantı |
|---|---|
| Proxy kullanıcı adı/parolası | İstemcinin proxy'ye erişimi. |
| Web sitesinin istemci sertifikası ve özel anahtarı | Uygulamanın hedefle TLS oturumu. |
| Proxy sunucusunun yukarı akış istemci sertifikası | Proxy'nin kendisinin başlattığı bir TLS oturumu. |
Bu roller bir arada bulunabilir. Hedefe mTLS'nin çalışması için web sitesinin özel anahtarını basit bir tünel proxy'sine yüklemek gerekmez. CONNECT devrinden sonra uygulamanın olağan hedef istemci sertifikası yapılandırmasını kullanın ve web sitesi sunucu sertifikasını doğrulamaya devam edin.
Apache'nin SSLProxyMachineCertificateFile parametresi, Apache kendi yukarı akış TLS oturumunu oluşturduğunda kimlik bilgisi sağlar. Bu dosya hakkındaki tavsiye, opak bir yönlendirme tüneli kullanan her istemcinin onu yapılandırması gerektiğini kanıtlamaz.
TLS araya girme, oturumu bir aracıda sonlandırır ve bu sahipliği değiştirir. Bir sertifikanın kopyalanmasının uçtan uca kimlik doğrulamayı koruduğunu varsaymak yerine, gereken istemci kimliğinin bu düzenlemeyi geçip geçemeyeceğini belirleyin.
Başarısızlık durumunda, isteğin proxy oturum açma, hedef TLS veya sonraki uygulama alışverişi aşamalarından hangisinde durduğunu kaydedin. Kimlik bilgisini gerçekten talep eden bağlantıya koyun.