Проследяване на прокси откази при проверки на сертификати CRL и OCSP

Заявка към уебсайт може да достигне до прокси сървъра си и въпреки това да се провали, защото проверката на сертификата изисква друга мрежова заявка. Извличането на CRL или OCSP може да минава през платформен компонент с различен акаунт и прокси политика от HTTP клиента на приложението.

Започнете с точната грешка във веригата. Отменен означава нещо различно от невъзможност за получаване на актуална информация за отмяна. Изтичането и недовереният издател са отново други проблеми. Само отказът при извличане изисква проследяване на липсващ маршрут до URL за състояние.

За този отказ определете три неща заедно: URL адреса, който се извлича, компонента, който извършва извличането, и самоличността на неговия процес. Успешното отваряне на URL адреса в браузър под вашия интерактивен акаунт не доказва, че дадена услуга може да се удостовери пред същия прокси сървър.

Ако идентифицираният компонент използва WinHTTP, прегледайте приложимата за него политика. Статичната конфигурация на прокси и автоматичното оценяване на прокси за всеки URL са отделни механизми. Приложете поддържаната конфигурация за предвидения акаунт; копирането на настройки от браузъра или промяната на несвързана среда за изпълнение може да остави действителното извличане незасегнато.

В .NET UrlRetrievalTimeout в политиката на веригата управлява изчакването за онлайн проверка или извличане на CRL. Удължаването на обичайния таймаут за HTTP отговор не удължава същия този таймер, а удължаването на таймера за извличане не предоставя нито прокси идентификационни данни, нито маршрут.

HTTPS прокси може да направи тази зависимост видима още преди TLS към дестинацията: доверието в прокси връзката само по себе си може да изисква извличане на информация за отмяна. Възстановете поддържания достъп за извличане и доверителната уредба на този етап. Изключването на проверката за отмяна променя политиката за сертификати; то не възстановява неуспешното извличане.