WRONG_VERSION_NUMBER amb un proxy: comproveu HTTP davant d'HTTPS
Diagnostiqueu un desajust de transport del proxy abans de rebaixar versions de TLS o de canviar la configuració de certificats per un error SSL enganyós.
L'error diu “versió incorrecta”, així que ve la temptació de començar a canviar versions de TLS. Amb un proxy, comproveu una possibilitat anterior: el client ha enviat un handshake TLS a un port que esperava HTTP pla?
Una destinació com https://example.com/ i un proxy com http://proxy.example:8080 són una parella corrent. Canviar el segon URL a HTTPS diu al client que xifri la conversa amb el mateix proxy. No és una instrucció per permetre llocs HTTPS.
Localitzeu la primera conversa TLS
Amb un proxy HTTP, el client primer pot enviar CONNECT i rebre una resposta HTTP. Només després inicia el TLS de destinació dins del túnel. Amb un proxy HTTPS, primer arriba una connexió TLS separada al proxy.
Un analitzador TLS que rep una pàgina d'error HTTP o altre text pla pot informar d'un error de protocol. La redacció no estableix quines versions de TLS admet el lloc, ni tan sols que s'hagi contactat el lloc.
- Anoteu l'URL del proxy, incloent-hi l'esquema, i el protocol documentat del punt final.
- Esbrineu si la fallada va passar abans d'una resposta CONNECT, durant el TLS de destinació o mentre es verificava el certificat del mateix proxy.
- Comproveu les versions reals del client i de les dependències quan compareu una solució antiga. Implementacions anteriors de proxy de vegades tractaven un esquema de manera diferent.
Diverses correccions poden ser errònies per motius diferents. La llista de proxys HTTP ofereix candidats corrents de punt final HTTP per a peticions públiques permeses per aquesta ruta. Un punt final HTTP pla necessita l'esquema de proxy HTTP; un punt final realment habilitat per TLS hauria de mantenir HTTPS i la verificació del certificat. Un proxy que rebutja CONNECT necessita un servei o una política admesos, no una rebaixa arbitrària de la biblioteca.
Quedeu-vos amb la primera fallada observable. Desactivar la verificació del certificat no pot fer que un receptor només HTTP parli TLS, i triar una política de xifratge antiga no pot explicar un rebuig HTTP enviat abans del handshake del lloc.