OpenSSL s_client: 403 z proxy přichází dřív než TLS cíle
Berte 403 na CONNECT přes proxy OpenSSL jako selhání ve fázi tunelu a nediagnostikujte certifikát cíle z handshake, který vůbec nezačal.
Pokud openssl s_client obdrží HTTP 403 v odpovědi na svůj požadavek CONNECT přes proxy, začněte právě tímto odmítnutím. Požadovaný tunel nebyl navázán.
S volbou -proxy nejprve s_client požádá HTTP proxy, aby se připojilo k cíli určenému pomocí -connect. Teprve úspěšná odpověď CONNECT přepne tuto výměnu do tunelu pro TLS handshake s cílem.
Toto pořadí vysvětluje jinak matoucí výstup: chybu proxy následovanou nadpisy vztahujícími se k TLS, chybějící certifikát protistrany nebo zdánlivě uklidňující řádek ověření. Tato pole nedokazují, že certifikát cíle byl přijat a ověřen. Operace se zastavila v dřívější fázi.
Zaznamenejte odpověď proxy a požadovaný hostitel a port cíle. 403 obrací pozornost k rozhodnutí proxy o přístupu; 407 žádá ověření vůči proxy. Ani jedno se neřeší vypnutím ověřování certifikátu cíle.
Když je povoleno zkoumat výměnu, výstup -debug v s_clientu může pomoci odmítnutí odhalit. Uchovávejte jakékoli přihlašovací údaje k proxy mimo sdílené záznamy. Úspěšný tunel by poté stejně potřeboval vlastní posouzení TLS a certifikátů, ale žádný řetěz certifikátů cíle k diagnostice neexistuje, dokud této fáze skutečně nedosáhneme.