Errors de certificat quan fas servir un proxy
Abans de canviar els certificats, identifica si ha fallat la verificació TLS de la connexió amb el proxy mateix o amb el web de destinació.
Abans de canviar un paquet de CA, identifica quina negociació TLS ha fallat. El certificat del proxy i el del web es poden comprovar en connexions diferents.
| Proxy i destinació | Comprovacions TLS |
|---|---|
| Proxy HTTP cap a una destinació HTTPS | Després de CONNECT, verifica el certificat de la destinació a través del túnel. |
| Proxy HTTPS cap a una destinació HTTPS | Primer verifica TLS amb el proxy; quan s’obri el túnel, verifica la sessió TLS independent amb la destinació. |
Fes servir la traça detallada per identificar el nom d’amfitrió sol·licitat i l’última negociació completada. Un error de certificat del proxy HTTPS pot passar abans de contactar amb el web. Comprova el nom previst per a aquella connexió, el període de validesa del certificat, el rellotge local, la cadena esperada i el magatzem de confiança aprovat. Inclou en la investigació qualsevol intercepció TLS configurada expressament o certificat arrel afegit.
curl ofereix opcions de CA separades per a les dues connexions:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert proporciona la confiança per al proxy; --cacert, per a la destinació. Substitueix el punt de connexió i els fitxers de l’exemple pels valors de la configuració de confiança que vols fer servir. No calen paquets personalitzats si la confiança del sistema ja és suficient.
Canviar un nom d’amfitrió per una IP arbitrària modifica la coincidència del certificat. Ometre la verificació pot amagar l’error sense establir la identitat de l’altre extrem. Per a un proxy desconegut, una petició d’instal·lar la seva CA arrel no és prou motiu per confiar-hi.
Un port que rebutja la connexió o un CONNECT rebutjat corresponen a una etapa anterior; canviar certificats no ho soluciona. A la inversa, després de verificar TLS amb la destinació, un error HTTP del web pertany a la resposta rebuda, no a un altre ajust de CA.