OpenSSL s_client: адказ проксі 403 узнікае да TLS прызначэння
Разглядайце адказ 403 на CONNECT праз проксі OpenSSL як збой на этапе тунеля і не дыягнастуйце сертыфікат прызначэння па рукапаціканні, якое так і не пачалося.
Калі openssl s_client атрымлівае HTTP 403 у адказ на свой запыт CONNECT праз проксі, пачынайце менавіта з гэтай адмовы. Запатрабаваны тунель не ўсталяваны.
З -proxy s_client спачатку просіць HTTP-проксі злучыцца з прызначэннем, указаным праз -connect. Толькі паспяховы адказ CONNECT ператварае гэты абмен у тунель для рукапацікання TLS з прызначэннем.
Гэты парадак тлумачыць інакш блытаную выснову: памылка проксі, за якой ідуць загалоўкі, звязаныя з TLS, адсутнасць сертыфіката партнёра або знешне супакойлівы радок праверкі. Гэтыя палі не даказваюць, што сертыфікат прызначэння быў атрыманы і правераны. Аперацыя спынілася на больш раннім этапе.
Запішыце адказ проксі, а таксама запытаныя хост і порт прызначэння. Адказ 403 скіроўвае ўвагу на рашэнне проксі аб доступе; адказ 407 патрабуе аўтэнтыфікацыі на проксі. Ні тое, ні другое не выпраўляецца адключэннем праверкі сертыфіката прызначэння.
Калі ёсць дазвол агледзець абмен, вывад -debug у s_client можа дапамагчы выявіць адмову. Трымайце любыя ўліковыя даныя проксі па-за агульнымі трасіроўкамі. Паспяховаму тунелю ўсё роўна спатрэбіцца ўласная ацэнка TLS і сертыфікатаў, але ланцужка сертыфікатаў мэты для дыягностыкі няма, пакуль гэты этап сапраўды не дасягнуты.