通过代理时由谁发送客户端证书？
区分目标网站的 mTLS 凭据、代理凭据，以及 Apache 创建上游 TLS 会话时使用的证书。
对于普通通过 CONNECT 使用 HTTPS，应用会在自己的目标 TLS 握手中发送网站的客户端证书。代理只转发字节，不会自动成为网站的 TLS 客户端。
| 凭据 | 所有者/连接 |
|---|---|
| 代理用户名/密码 | 客户端访问代理。 |
| 网站客户端证书和私钥 | 应用与目标建立的 TLS 会话。 |
| 代理服务器的上游客户端证书 | 代理自身发起的 TLS 会话。 |
这些角色可以同时存在。要让目标 mTLS 工作，无需把网站私钥上传给普通隧道代理。完成CONNECT 交接后，使用应用正常的目标客户端证书配置，并继续验证网站服务器证书。
Apache 创建自己的上游 TLS 会话时，SSLProxyMachineCertificateFile 会提供凭据。关于该文件的建议，不能说明每个使用不透明正向隧道的客户端都必须配置它。
TLS 拦截会在中间层终止会话，并改变所有权关系。应确认所需的客户端身份能否通过这种安排，而不要假设复制证书就能保持端到端认证。
发生故障时，记录请求是停在代理登录、目标 TLS还是后续应用交换阶段。把凭据放在实际请求它的连接上。