Greške certifikata pri korištenju proxyja
Prije promjene postavki certifikata utvrdite je li provjera TLS veze s proxyjem ili s odredišnom web-stranicom bila neuspješna.
Prije promjene CA paketa utvrdite koje TLS rukovanje nije uspjelo. Certifikat proxyja i certifikat web-stranice mogu se provjeravati na različitim vezama.
| Proxy i odredište | TLS provjere |
|---|---|
| HTTP proxy za HTTPS odredište | Nakon CONNECT provjerite certifikat odredišta kroz tunel. |
| HTTPS proxy za HTTPS odredište | Prvo provjerite TLS do proxyja; nakon otvaranja tunela provjerite zasebnu TLS sesiju do odredišta. |
Detaljnim tragom utvrdite zatraženo ime hosta i posljednje završeno rukovanje. Greška certifikata HTTPS proxyja može se pojaviti prije kontakta s web-stranicom. Provjerite predviđeno ime te veze, period važenja certifikata, lokalni sat, očekivani lanac i odobreno spremište povjerenja. U istragu uključite namjerno postavljeno TLS presretanje ili dodani korijenski certifikat.
curl nudi odvojene CA opcije za dvije veze:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert određuje povjerenje za proxy; --cacert za odredište. Zamijenite primjer krajnje tačke i datoteke vrijednostima iz predviđenog sistema povjerenja. Prilagođeni paketi nisu potrebni ako je povjerenje sistema već dovoljno.
Zamjena imena hosta proizvoljnim IP-om mijenja podudaranje certifikata. Preskakanje provjere može sakriti grešku bez utvrđivanja identiteta druge strane. Kod nepoznatog proxyja zahtjev da instalirate njegov korijenski CA nije dovoljan razlog za povjerenje.
Odbijena veza na port ili odbijen CONNECT pripadaju ranijoj fazi; promjena certifikata to ne može popraviti. Obrnuto, nakon provjere TLS-a odredišta HTTP greška web-stranice odnosi se na primljeni odgovor, a ne na novu prilagodbu CA-a.