Praćenje proxy grešaka u provjerama CRL i OCSP certifikata

Zahtjev web stranice može dosegnuti svoj proxy i ipak ne uspjeti jer provjera certifikata treba još jedan mrežni zahtjev. Preuzimanje CRL ili OCSP može se izvršavati kroz komponentu platforme s drugim računom i proxy pravilima od HTTP klijenta aplikacije.

Počnite s točnom greškom lanca. Opozvano znači nešto drugačije od nemogućnosti dobijanja aktuelnih informacija o opozivu. Istek i nepouzdan izdavalac su opet drugi problemi. Samo neuspjeh preuzimanja zahtijeva praćenje nedostajuće rute do URL-a statusa.

Za taj neuspjeh istovremeno prepoznajte tri stvari: URL koji se preuzima, komponentu koja obavlja preuzimanje i identitet njenog procesa. Uspješno otvaranje URL-a u pregledniku pod vašim interaktivnim računom ne dokazuje da se neka usluga može autentificirati na isti proxy.

Ako identificirana komponenta koristi WinHTTP, ispitajte pravila koja se na nju primjenjuju. Statička proxy konfiguracija i automatska procjena proxyja po URL-u su odvojeni mehanizmi. Primijenite podržanu konfiguraciju za predviđeni račun; kopiranje postavki preglednika ili promjena nepovezanog okruženja mogu ostaviti stvarno preuzimanje netaknutim.

U .NET-u UrlRetrievalTimeout u pravilima lanca kontrolira čekanje na online provjeru ili preuzimanje CRL-a. Produženje uobičajenog HTTP vremenskog ograničenja ne produžava taj isti tajmer, a produženje tajmera preuzimanja ne daje proxy vjerodajnice ni rutu.

HTTPS proxy može učiniti ovu zavisnost vidljivom čak i prije TLS-a odredišta: povjerenje u proxy vezu samo po sebi može zahtijevati preuzimanje informacija o opozivu. Vratite podržani pristup preuzimanju i aranžman povjerenja u toj fazi. Isključivanje provjere opoziva mijenja pravila certifikata; ne vraća neuspjelo preuzimanje.