WRONG_VERSION_NUMBER с прокси: проверете HTTP срещу HTTPS
Диагностицирайте несъответствие на транспорта през прокси, преди да понижите версиите на TLS или да промените настройките на сертификата в отговор на подвеждаща SSL грешка.
Грешката казва “грешна версия”, затова е изкушаващо да започнете да сменяте версиите на TLS. С прокси обаче проверете по-ранна възможност: изпратил ли е клиентът TLS ръкостискане към порт, който е чакал обикновен HTTP?
Дестинация като https://example.com/ и прокси като http://proxy.example:8080 са обикновена двойка. Промяната на втория URL на HTTPS казва на клиента да шифрова разговора си със самото прокси. Това не е указание да разрешава HTTPS сайтове.
Открийте първия TLS разговор
При HTTP прокси клиентът първо може да изпрати CONNECT и да получи HTTP отговор. Едва след това започва TLS към дестинацията вътре в тунела. При HTTPS прокси първо идва отделна TLS връзка към проксито.
TLS анализатор, който получи HTTP страница за грешка или друг обикновен текст, може да съобщи за протоколна грешка. Формулировката не установява кои версии на TLS поддържа сайтът, нито дори че сайтът е бил потърсен.
- Запишете URL адреса на проксито, включително схемата му, и документирания протокол на крайната точка.
- Установете дали отказът е станал преди отговор на CONNECT, по време на TLS към дестинацията или при проверка на собствения сертификат на проксито.
- Проверете действителните версии на клиента и зависимостите, когато сравнявате старо заобиколно решение. По-ранните реализации на прокси понякога третираха схемата различно.
Няколко поправки могат да бъдат погрешни по различни причини. Списъкът с HTTP проксита предлага обикновени кандидати за HTTP крайни точки за публични заявки, разрешени през такъв маршрут. Обикновената HTTP крайна точка се нуждае от HTTP прокси схема; наистина TLS-включена крайна точка трябва да запази HTTPS и проверката на сертификата. Прокси, което отхвърля CONNECT, се нуждае от поддържана услуга или политика, а не от произволно понижаване на библиотеката.
Задръжте първия наблюдаем отказ. Изключването на проверката на сертификата не може да накара слушател само с HTTP да говори TLS, а изборът на стара шифрова политика не може да обясни HTTP отказ, изпратен преди ръкостискането със сайта.