Окремі контексти TLS для проксі та сайту urllib3

Завантажте клієнтський сертифікат HTTPS-проксі в proxy_ssl_context, залишивши довіру до призначення та будь-яку ідентичність клієнта призначення в ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Використовуйте фактично затверджені файли. proxy-roots.pem перевіряє посередника; proxy-client.pem і відповідний закритий ключ ідентифікують цього клієнта перед цим посередником. origin_tls зберігає окрему політику довіри призначення.

Схема https в URL проксі необхідна для цього першого обміну TLS. Для цілі HTTPS urllib3 потім надсилає CONNECT у зовнішній сесії TLS і виконує TLS сайту через тунель.

Якщо сайт також потребує клієнтського сертифіката, помістіть його в origin_tls. Повторне використання ідентичності проксі там автентифікувало б інше з єднання.

Звичайний HTTP-проксі, що передає HTTPS, не має зовнішнього рукостискання TLS. Додатковий HTTP 407 також окремий: надання клієнтського сертифіката не дає облікових даних імені користувача/пароля.

Схожі статті