Ai gửi chứng chỉ máy khách qua proxy?
Giữ thông tin xác thực mTLS của đích tách biệt với thông tin xác thực của proxy và với các chứng chỉ mà Apache dùng khi tạo phiên TLS thượng nguồn của chính nó.
Trong HTTPS qua CONNECT thông thường, ứng dụng gửi chứng chỉ máy khách của trang web trong bắt tay TLS đích của chính nó. Proxy chỉ chuyển tiếp byte; nó không tự động trở thành máy khách TLS của trang web.
| Thông tin xác thực | Chủ sở hữu/kết nối |
|---|---|
| Tên đăng nhập/mật khẩu proxy | Quyền truy cập proxy của máy khách. |
| Chứng chỉ máy khách và khóa riêng của trang web | Phiên TLS của ứng dụng với đích. |
| Chứng chỉ máy khách thượng nguồn của máy chủ proxy | Phiên TLS do chính proxy khởi tạo. |
Các vai trò này có thể cùng tồn tại. Không cần tải khóa riêng của trang web lên proxy đường hầm đơn giản để mTLS tới đích hoạt động. Sau bàn giao CONNECT, hãy dùng cấu hình chứng chỉ máy khách đích thông thường của ứng dụng và tiếp tục xác minh chứng chỉ máy chủ của trang web.
SSLProxyMachineCertificateFile của Apache cung cấp thông tin xác thực khi Apache tạo phiên TLS thượng nguồn của chính nó. Lời khuyên về tệp đó không chứng minh rằng mọi máy khách dùng đường hầm chuyển tiếp mờ đều phải cấu hình nó.
Việc chặn TLS kết thúc phiên tại một trung gian và thay đổi quyền sở hữu này. Hãy xác định xem danh tính máy khách cần thiết có thể đi qua cách bố trí đó hay không, thay vì giả định rằng sao chép chứng chỉ sẽ giữ nguyên xác thực đầu-cuối.
Khi có lỗi, hãy ghi lại yêu cầu dừng ở đăng nhập proxy, ở TLS đích hay ở trao đổi ứng dụng sau đó. Đặt thông tin xác thực trên kết nối thực sự yêu cầu nó.