Набори CA Cargo для проксі та сервера пакунків
Застосовуйте cainfo й proxy-cainfo Cargo до правильного TLS-з’єднання, не вважаючи всі помилки сертифікатів проксі однією проблемою довіри.
Для HTTPS-проксі та HTTPS-джерела пакунків Cargo може перевіряти два TLS-з’єднання з різними наборами CA:
[http]
proxy = "https://proxy.example:8443"
proxy-cainfo = "/path/to/proxy-ca.pem"
cainfo = "/path/to/origin-ca.pem"Замініть кінцеву точку та шляхи схваленими значеннями. Цей проксі навмисно має TLS-слухач; звичайний HTTP-проксі не стає HTTPS через те, що джерело пакунків використовує HTTPS.
| Етап збою | Налаштування довіри для перевірки |
|---|---|
| TLS проксі до створення тунелю до призначення | http.proxy-cainfo; якщо не задано окремо, використовується http.cainfo. |
| Сертифікат призначення після створення тунелю | http.cainfo для шляху довіри до призначення. |
Відповідні змінні — CARGO_HTTP_PROXY_CAINFO та CARGO_HTTP_CAINFO. Використовуйте належний схвалений центр сертифікації; копіювання випадкового сертифіката в обидва файли не визначить, яке з’єднання помилкове.
Незашифрований HTTP-проксі, який передає CONNECT, не має TLS-сертифіката слухача проксі для перевірки. Помилку призначення в такому разі не виправити вигаданим файлом CA проксі. Також перевірте наявність налаштованого шляху всередині фактичного контейнера або завдання CI й враховуйте поведінку операційної системи та TLS-бекенда під час порівняння середовищ.
Залишайте перевірку ввімкненою. Вона забезпечує перевірку ідентичності, що дає змогу відрізнити потрібний сервіс від передавання, яке просто триває.