أخطاء الشهادات عند استخدام بروكسي
قبل تغيير إعدادات الشهادات، حدّد هل فشل التحقق من اتصال TLS بالبروكسي نفسه أم بالموقع المقصود.
حدّد مصافحة TLS التي فشلت قبل تعديل حزمة CA. قد تُفحص شهادة البروكسي وشهادة الموقع عبر اتصالين مختلفين.
| البروكسي والوجهة | فحوص TLS |
|---|---|
| بروكسي HTTP ينقل الاتصال بوجهة HTTPS | بعد CONNECT، تحقّق من شهادة الوجهة عبر النفق. |
| بروكسي HTTPS ينقل الاتصال بوجهة HTTPS | تحقّق أولًا من TLS إلى البروكسي؛ وبعد فتح النفق، تحقّق من جلسة TLS المنفصلة مع الوجهة. |
استخدم التتبّع التفصيلي لتحديد اسم المضيف المطلوب وآخر مصافحة اكتملت. قد يحدث فشل شهادة بروكسي HTTPS قبل الاتصال بالموقع. افحص الاسم المقصود لهذا الاتصال، وفترة صلاحية الشهادة، والساعة المحلية، وسلسلة الشهادات المتوقعة، ومخزن الثقة المعتمد. أدرج في الفحص أي اعتراض TLS أُعدّ عمدًا أو شهادة جذر أُضيفت.
يوفّر curl خيارات CA منفصلة للاتصالين:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/يحدّد --proxy-cacert الثقة الخاصة بالبروكسي، ويحدّد --cacert الثقة الخاصة بالوجهة. استبدل نقطة الاتصال والملفات في المثال بقيم من ترتيب الثقة الذي تنوي استخدامه. لا حاجة إلى حزم مخصّصة إذا كانت ثقة النظام كافية أصلًا.
استبدال اسم المضيف بعنوان IP اعتباطي يغيّر مطابقة الشهادة. قد يخفي تجاوز التحقق الفشل دون إثبات هوية الطرف الآخر. بالنسبة إلى بروكسي غير مألوف، مجرد طلب تثبيت CA الجذر الخاصة به ليس سببًا كافيًا للثقة به.
رفض الاتصال بالمنفذ أو رفض CONNECT ينتميان إلى مرحلة أسبق؛ ولا يصلحهما تغيير الشهادات. وفي المقابل، بعد نجاح التحقق من TLS للوجهة، يتعلق خطأ HTTP من الموقع بالاستجابة المستلمة، لا بتعديل آخر على CA.