WRONG_VERSION_NUMBER met 'n proxy: kontroleer HTTP teenoor HTTPS

Diagnoseer 'n proxy-vervoerbotsing voordat jy TLS-weergawes afskaal of sertifikaatinstellings verander na aanleiding van 'n misleidende SSL-fout.

Die fout sê “verkeerde weergawe”, so dit is aanloklik om TLS-weergawes te begin omruil. Met 'n proxy moet jy 'n vroeëre moontlikheid nagaan: het die kliënt 'n TLS-handdruk na 'n poort gestuur wat op gewone HTTP gewag het?

'n Bestemming soos https://example.com/ en 'n proxy soos http://proxy.example:8080 is 'n gewone paar. Om die tweede URL na HTTPS te verander, sê vir die kliënt om sy gesprek met die proxy self te versleutel. Dit is nie 'n opdrag om HTTPS-webwerwe toe te laat nie.

Vind die eerste TLS-gesprek

Vir 'n HTTP-proxy kan die kliënt eers CONNECT stuur en 'n HTTP-antwoord ontvang. Eers daarna begin dit die bestemming se TLS binne die tonnel. Vir 'n HTTPS-proxy kom 'n aparte TLS-verbinding na die proxy eerste.

'n TLS-ontleder wat 'n HTTP-foutbladsy of ander gewone teks ontvang, kan 'n protokolfout rapporteer. Die bewoording bepaal nie watter TLS-weergawes die webwerf ondersteun nie, of selfs dat die webwerf gekontak is nie.

  1. Teken die proxy-URL aan, insluitend sy skema, en die gedokumenteerde protokol van die eindpunt.
  2. Vind uit of die fout voor 'n CONNECT-antwoord plaasgevind het, tydens die bestemming se TLS, of tydens die verifikasie van die proxy se eie sertifikaat.
  3. Kontroleer die werklike kliënt- en afhanklikheidsweergawes wanneer jy 'n ou tydelike oplossing vergelyk. Vroeëre proxy-implementasies het soms 'n skema anders hanteer.

Verskeie regstellings kan om verskillende redes verkeerd wees. Die HTTP-proxylys bied gewone HTTP-eindpuntkandidate vir openbare versoeke wat deur so 'n roete toegelaat word. 'n Gewone HTTP-eindpunt benodig die HTTP-proxy-skema; 'n werklik TLS-geaktiveerde eindpunt moet HTTPS en sy sertifikaatverifikasie behou. 'n Proxy wat CONNECT verwerp, benodig 'n ondersteunde diens of beleid, nie 'n willekeurige afskaal van die biblioteek nie.

Hou die eerste waarneembare fout. Om sertifikaatverifikasie te deaktiveer, kan nie 'n luisteraar wat net HTTP ken, TLS laat praat nie, en die keuse van 'n ou syferbeleid kan nie 'n HTTP-verwerping verklaar wat voor die webwerf se handdruk gestuur is nie.

Verwante artikels