OpenSSL s_client: 403 от прокси идва преди TLS на дестинацията
Тълкувайте 403 на CONNECT през прокси на OpenSSL като отказ на етапа на тунела и не диагностицирайте сертификата на дестинацията по ръкостискане, което изобщо не е започнало.
Ако openssl s_client получи HTTP 403 в отговор на заявката си CONNECT през прокси, започнете именно от този отказ. Заявеният тунел не е установен.
С -proxy s_client първо иска от HTTP прокси да се свърже с дестинацията, зададена с -connect. Само успешен отговор CONNECT превръща тази размяна в тунел за TLS ръкостискането с дестинацията.
Тази последователност обяснява иначе объркващ резултат: грешка от прокси, последвана от заглавия, свързани с TLS, липса на сертификат на партньора или привидно успокояващ ред за проверка. Тези полета не доказват, че сертификатът на дестинацията е получен и проверен. Операцията е спряла на по-ранен етап.
Запишете отговора на прокси сървъра и заявените хост и порт на дестинацията. 403 насочва вниманието към решението за достъп на прокси сървъра; 407 изисква удостоверяване пред прокси сървъра. Нито едно от двете не се поправя чрез изключване на проверката на сертификата на дестинацията.
Когато е разрешено да се прегледа размяната, изходът на -debug в s_client може да помогне да се разкрие отказът. Пазете всякакви прокси идентификационни данни извън споделени трасета. Успешният тунел все пак ще се нуждае от собствена оценка на TLS и сертификатите след това, но няма верига от сертификати на целта за диагностика, докато този етап действително не бъде достигнат.