Mitmproxy是否支持代理与客户端双向TLS认证？求方案及替代工具

Mitmproxy的支持情况 #

Mitmproxy 完全支持代理与客户端之间的双向TLS认证，也能发送TLS握手的CERTIFICATE_REQUEST消息获取客户端证书，无需额外开发，通过现有配置即可实现。

具体配置步骤 #

• 准备代理向客户端认证的证书文件，以及信任客户端证书的CA根证书
• 启动Mitmproxy时添加以下参数：

  mitmproxy --certs *:/path/to/proxy-cert.pem --client-ca /path/to/client-ca.pem
  

  • --certs：指定代理用于向客户端完成TLS认证的证书（通配符*适配所有域名场景）
  • --client-ca：指定信任的客户端证书CA根证书，配置后Mitmproxy会在TLS握手阶段自动发送CERTIFICATE_REQUEST，要求客户端提供对应CA签发的证书
• Mitmproxy会自动验证客户端证书的有效性，拒绝未被信任CA签发的客户端连接

替代工具推荐 #

如果Mitmproxy不符合你的特定需求，可考虑以下工具：

• Nginx：可作为正向/反向代理，通过配置ssl_verify_client on;和ssl_client_certificate /path/to/client-ca.crt;开启双向TLS认证，适合生产环境的稳定代理场景
• HAProxy：支持高性能双向TLS代理，配置crt指定代理证书，ca-file指定客户端信任CA，verify required强制验证客户端证书，适合高并发场景
• OpenSSL s_server：可快速搭建测试用双向TLS服务/代理，命令示例：

  openssl s_server -cert proxy-cert.pem -key proxy-key.pem -CAfile client-ca.pem -verify 1
  

内容的提问来源于stack exchange，提问作者jay S