Rastrejar fallades de proxy en les comprovacions de certificats CRL i OCSP

Una sol·licitud a un lloc web pot arribar al seu proxy i tot i així fallar perquè la verificació del certificat necessita una altra sol·licitud de xarxa. L'obtenció de CRL o OCSP pot executar-se mitjançant un component de plataforma amb un compte i una política de proxy diferents dels del client HTTP de l'aplicació.

Comenceu per l'error exacte de la cadena. Revocat significa una cosa diferent de no es pot obtenir informació actual de revocació. La caducitat i un emissor no fiable són encara altres problemes. Només la fallada d'obtenció requereix rastrejar una ruta absent cap a un URL d'estat.

Per a aquesta fallada, identifiqueu tres coses alhora: l'URL que s'obté, el component que fa l'obtenció i la identitat del seu procés. Que un navegador obri l'URL correctament sota el vostre compte interactiu no demostra que un servei pugui autenticar-se al mateix proxy.

Si el component identificat utilitza WinHTTP, examineu la política que se li aplica. La configuració estàtica de proxy i l'avaluació automàtica de proxy per URL són mecanismes separats. Apliqueu la configuració compatible per al compte previst; copiar la configuració del navegador o canviar un entorn d'execució no relacionat pot deixar l'obtenció real intacta.

A .NET, UrlRetrievalTimeout a la política de cadena controla una espera per a la verificació en línia o l'obtenció de CRL. Ampliar el temps d'espera habitual de resposta HTTP no amplia aquest mateix temporitzador, i ampliar el temporitzador d'obtenció no proporciona credencials de proxy ni una ruta.

Un proxy HTTPS pot fer visible aquesta dependència fins i tot abans del TLS de destinació: la confiança en la connexió al proxy pot requerir per si mateixa l'obtenció d'informació de revocació. Restaureu l'accés d'obtenció compatible i l'arranjament de confiança en aquesta etapa. Desactivar la comprovació de revocació canvia la política de certificats; no restaura l'obtenció fallida.