Proksidən istifadə zamanı sertifikat xətaları
Sertifikat parametrlərini dəyişməzdən əvvəl yoxlamanın proksinin öz TLS bağlantısında, yoxsa hədəf saytda uğursuz olduğunu müəyyənləşdirin.
CA paketini dəyişməzdən əvvəl hansı TLS əl sıxmasının uğursuz olduğunu tapın. Proksi sertifikatı və sayt sertifikatı fərqli bağlantılarda yoxlanıla bilər.
| Proksi və hədəf | TLS yoxlamaları |
|---|---|
| HTTPS hədəfə gedən HTTP proksi | CONNECT-dən sonra hədəf sertifikatını tunel vasitəsilə yoxlayın. |
| HTTPS hədəfə gedən HTTPS proksi | Əvvəl proksiyə TLS bağlantısını yoxlayın; tunel açıldıqdan sonra hədəfə ayrıca TLS sessiyasını yoxlayın. |
Tələb olunan host adını və son tamamlanmış əl sıxmasını ətraflı iz qeydindən müəyyən edin. HTTPS proksi sertifikatı xətası saytla əlaqə qurulmazdan əvvəl baş verə bilər. Həmin bağlantının nəzərdə tutulan adını, sertifikatın etibarlılıq müddətini, yerli saatı, gözlənilən zənciri və təsdiqlənmiş etibar anbarını yoxlayın. Qəsdən qurulmuş TLS müdaxiləsini və ya əlavə edilmiş kök sertifikatı da araşdırmaya daxil edin.
curl iki bağlantı üçün ayrı CA seçimləri təqdim edir:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert proksi üçün, --cacert isə hədəf üçün etibar mənbəyini verir. Nümunə son nöqtəsini və faylları nəzərdə tutduğunuz etibar quruluşundakı dəyərlərlə əvəz edin. Sistem etibarı artıq kifayətdirsə, xüsusi paketlərə ehtiyac yoxdur.
Host adını istənilən IP ilə əvəz etmək sertifikat uyğunlaşdırmasını dəyişir. Yoxlamanı keçmək qarşı tərəfin kimliyini müəyyən etmədən xətanı gizlədə bilər. Tanımadığınız proksinin öz kök CA-sını quraşdırmağı istəməsi ona etibar etmək üçün kifayət etmir.
Rədd edilmiş port bağlantısı və ya CONNECT daha əvvəlki mərhələyə aiddir; sertifikatları dəyişmək bunu düzəldə bilməz. Əksinə, hədəf TLS yoxlanıldıqdan sonra saytın HTTP xətası alınmış cavaba aiddir, yeni CA düzəlişinə yox.