Chyby certifikátu při používání proxy
Než změníte nastavení certifikátů, zjistěte, zda selhalo ověření TLS spojení k samotné proxy, nebo k cílovému webu.
Než změníte balíček CA, zjistěte, který TLS handshake selhal. Certifikát proxy a certifikát webu se mohou ověřovat na různých spojeních.
| Proxy a cíl | Kontroly TLS |
|---|---|
| HTTP proxy pro cíl HTTPS | Po CONNECT ověřte certifikát cíle přes tunel. |
| HTTPS proxy pro cíl HTTPS | Nejprve ověřte TLS k proxy; po otevření tunelu ověřte samostatnou TLS relaci k cíli. |
Pomocí podrobného trasování určete požadované jméno hostitele a poslední dokončený handshake. Chyba certifikátu HTTPS proxy může nastat ještě před kontaktováním webu. Zkontrolujte zamýšlené jméno daného spojení, dobu platnosti certifikátu, místní hodiny, očekávaný řetězec a schválené úložiště důvěryhodných certifikátů. Do šetření zahrňte i záměrně nastavené zachytávání TLS nebo přidaný kořenový certifikát.
curl nabízí samostatné volby CA pro obě spojení:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert určuje důvěru pro proxy; --cacert pro cíl. Nahraďte ukázkový koncový bod a soubory hodnotami ze zamýšleného nastavení důvěry. Vlastní balíčky nejsou potřeba, pokud již postačuje systémové úložiště.
Nahrazení jména hostitele libovolnou IP adresou mění párování certifikátu. Vynechání ověření může skrýt chybu, aniž by potvrdilo identitu protistrany. U neznámé proxy požadavek na instalaci její kořenové CA není dostatečným důvodem jí důvěřovat.
Odmítnuté připojení k portu nebo odmítnuté CONNECT patří do dřívější fáze; změna certifikátů je neopraví. Naopak po ověření TLS cíle se HTTP chyba webu týká přijaté odpovědi, nikoli další úpravy CA.