OpenSSL s_client se proxy-403 gebeur voor die bestemming se TLS
Verstaan 'n 403 op CONNECT deur 'n OpenSSL-proxy as 'n fout in die tonnelstadium en moenie 'n bestemmingsertifikaat diagnoseer uit 'n handdruk wat nooit begin het nie.
As openssl s_client 'n HTTP 403 kry in reaksie op sy proxy-CONNECT-versoek, begin by daardie weiering. Die versoekte tonnel is nie gevestig nie.
Met -proxy vra s_client eers die HTTP-proxy om aan die bestemming te koppel wat deur -connect gespesifiseer word. Slegs 'n suksesvolle CONNECT-antwoord skakel daardie uitruiling oor na 'n tonnel vir die bestemming se TLS-handdruk.
Hierdie volgorde verduidelik 'n andersins verwarrende uitset: 'n proxyfout gevolg deur TLS-verwante opskrifte, geen eweknie-sertifikaat nie, of 'n oënskynlik gerusstellende verifikasielyn. Daardie velde bewys nie dat die bestemming se sertifikaat ontvang en geverifieer is nie. Die bewerking het by 'n vroeër stadium gestop.
Teken die proxy-antwoord en die versoekte bestemming se gasheer en poort aan. 'n 403 vestig die aandag op die proxy se toegangsbesluit; 407 versoek proxy-verifikasie. Nie een word herstel deur die verifikasie van die bestemmingsertifikaat te deaktiveer nie.
Wanneer dit toegelaat word om die uitruiling te ondersoek, kan s_client se -debug-uitset help om die weiering bloot te lê. Hou enige proxy-geloofsbriewe uit gedeelde spore. 'n Suksesvolle tonnel sou daarna steeds sy eie TLS- en sertifikaatbeoordeling nodig hê, maar daar is geen teikensertifikaatketting om te diagnoseer voordat daardie stadium werklik bereik is nie.