OpenSSL s_client: el 403 del proxy arriba abans del TLS de destí
Interpreta un 403 de CONNECT a través del proxy d'OpenSSL com una fallada de l'etapa de túnel i no diagnostiquis el certificat de destí a partir d'un handshake que no s'ha iniciat.
Si openssl s_client rep un HTTP 403 com a resposta a la seva petició CONNECT al proxy, comença per aquest refús. El túnel sol·licitat no s'ha establert.
Amb -proxy, s_client primer demana al proxy HTTP que es connecti a la destinació indicada per -connect. Només una resposta CONNECT correcta converteix aquest intercanvi en un túnel per al handshake TLS de destí.
Aquest ordre explica una sortida que d'altra manera és confusa: un error del proxy seguit d'encapçalaments relacionats amb TLS, cap certificat del parell o una línia de verificació aparentment tranquil·litzadora. Aquests camps no demostren que el certificat de destí s'hagi rebut i verificat. L'operació s'ha aturat en una etapa anterior.
Anota la resposta del proxy i l'amfitrió i el port de destí sol·licitats. Un 403 adreça l'atenció cap a la decisió d'accés del proxy; un 407 demana autenticació al proxy. Cap dels dos no es repara desactivant la verificació del certificat de destí.
Quan es permet inspeccionar l'intercanvi, la sortida -debug de s_client pot ajudar a exposar el refús. Mantén qualsevol credencial del proxy fora de les traces compartides. Un túnel correcte encara necessitaria després la seva pròpia avaluació de TLS i certificats, però no hi ha cap cadena de certificats de destí per diagnosticar fins que aquesta etapa s'hagi assolit realment.