UnboundID може розмістити LDAPS усередині тунелю HTTP CONNECT

Використовуйте HTTPProxySocketFactory з фабрикою TLS-сокетів і враховуйте відсутність прямої підтримки автентифікації через проксі.

UnboundID LDAP SDK 7.0.5 надає HTTPProxySocketFactory для маршруту HTTP CONNECT. Передайте фабрику TLS-сокетів застосунку, коли призначенням є LDAPS:

var proxyFactory =
    new com.unboundid.util.HTTPProxySocketFactory(
        "proxy.example.net", 8080, 10000, ldapsTlsFactory);

ldapsTlsFactory — це SSLSocketFactory застосунку з потрібною конфігурацією довіри до сервера. Передайте proxyFactory у конструктор LDAPConnection, що приймає фабрику сокетів, а також фактичні ім'я хоста й порт LDAP-сервера.

Налаштуйте також перевірку імені хоста з'єднання. SDK надає HostNameSSLSocketVerifier через LDAPConnectionOptions; довіра лише видавцю сертифіката — не та сама перевірка, що зіставлення з потрібним хостом LDAP.

HTTP-проксі має дозволяти CONNECT до цього призначення, часто це порт 636 для LDAPS. Проксі, обмежений портами веб-призначень, може відхилити його.

Документовані обмеження фабрики важливі: зв'язок із самим проксі не шифрується TLS, і вона не підтримує напряму автентифікацію HTTP-проксі. Передача TLS-фабрики для LDAPS захищає подальше з'єднання з каталогом, а не додає відсутній механізм входу через проксі.

Схожі статті