HTTPS proxy također mora poslati svoj lanac certifikata

Dijagnosticirajte nedostajuće posredničke certifikate na TLS slušaču od klijenta do Squida odvojeno od certifikata ciljne web stranice.

Ako klijenti odbiju HTTPS proxy prije nego što dođu do web stranice, pregledajte lanac koji šalje slušač proxyja. Samo važeći završni certifikat možda neće pružiti posredničke certifikate koji su klijentu potrebni.

  1. Identificirajte krajnju točku koja se provjerava. Pročitajte naziv hosta u konfiguriranom URL-u proxyja i grešku za tu vezu. Certifikat slušača mora pokrivati taj naziv. Certifikat web stranice ili certifikat za drugi IP alias ne može ga zamijeniti.
  2. Provjerite konfiguraciju lanca slušača. Podržana OpenSSL konfiguracija Squida može uključiti posredničke certifikate u datoteku certifikata. Potvrdite raspored u referenci slušača za instaliranu verziju Squida i TLS backend; ponašanje paketa nije ujednačeno. Primjer TLS slušača u Squidu 6.13 drži povjerenje slušača odvojeno od TLS-a odredišta.
  3. Provjerite povjerenje klijenta odvojeno. Slanje posredničkih certifikata pomaže izgradnji lanca, ali klijentu i dalje treba predviđena korijenska sidra povjerenja. Uvoz cijelog serverskog lanca u korijensko spremište bez razlike je drugačija promjena od ispravljanja onoga što server šalje.

Ostavite provjeru uključenom. Ona identificira HTTPS proxy koji je klijent namjeravao koristiti. Nakon što se ta veza provjeri, kasnija greška certifikata web stranice pripada TLS sesiji odredišta kroz proxy, sa vlastitom istragom naziva hosta i povjerenja.

Povezani članci