Kontrola certifikátu webu přes HTTP proxy s OpenSSL
Použijte OpenSSL s_client přes HTTP CONNECT proxy a slaďte název cíle, SNI a ověřování certifikátu.
Použijte nainstalovaný OpenSSL s_client s podporou -proxy. Pro autorizovaný koncový bod HTTP CONNECT:
openssl s_client -proxy proxy.example:3128 -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -showcertsNahraďte adresu proxy a důsledně používejte zamýšlený název cíle. Pro test veřejného cíle přes proxy, kterou smíte zvolit, vyberte kandidáta HTTP ze seznamu HTTP proxy. -connect vybírá cíl, -servername posílá SNI pro jeho virtuální hostitele TLS a -verify_hostname kontroluje identitu. Samotné SNI není ověřením názvu hostitele. Při úpravě voleb se podívejte do příručky k nainstalované verzi.
-showcerts zobrazuje, co server odeslal, nikoli prohlášení, že je řetězec důvěryhodný. -verify_return_error způsobí ukončení handshake při chybách ověření; jinak může diagnostický klient po chybách pokračovat. U soukromé služby použijte schválený materiál CA místo důvěry v libovolný stažený certifikát.
| Výsledek | Fáze |
|---|---|
| 407 | Ověření proxy před TLS cíle. |
| Odmítnutý cíl CONNECT | Zásady cíle proxy. |
| Certifikát přijat a ověření zahájeno | Výměna TLS cíle přes přijatý tunel. |
S OpenSSL 3.x a HTTP proxy s autentizací Basic použijte volby proxy účtu s_client a zachovejte ověřování cíle.
Koncový bod pouze SOCKS neposkytuje rozhraní HTTP proxy, které tento příkaz používá. Při autorizovaném zachytávání TLS může certifikát vydat tento prostředník. Než rozdíl připíšete nefunkčnímu webu, porovnejte jeho vydavatele a zamýšlené uspořádání důvěry.