Mae angen i brocsi HTTPS anfon ei gadwyn dystysgrifau hefyd

Os yw cleientiaid yn gwrthod y procsi HTTPS cyn cyrraedd gwefan, archwiliwch y gadwyn a anfonir gan wrandawr y procsi. Efallai na fydd tystysgrif ddalen ddilys ar ei phen ei hun yn darparu'r tystysgrifau canolradd sydd eu hangen ar y cleient.

1. Nodwch y pen terfyn sy'n cael ei wirio. Darllenwch yr enw gwesteiwr yn URL y procsi a ffurfweddwyd a'r gwall ar gyfer y cysylltiad hwnnw. Rhaid i dystysgrif y gwrandawr gwmpasu'r enw hwnnw. Ni all tystysgrif gwefan na thystysgrif ar gyfer alias IP arall ei disodli.
2. Gwiriwch ffurfweddiad cadwyn y gwrandawr. Gall ffurfweddiad OpenSSL a gefnogir gan Squid gynnwys tystysgrifau canolradd yn y ffeil dystysgrif. Cadarnhewch y trefniant yng nghyfeiriad y gwrandawr ar gyfer y fersiwn Squid sydd wedi'i osod a'r backend TLS; nid yw ymddygiad pecynnau yn unffurf. Mae enghraifft gwrandawr TLS Squid 6.13 yn cadw ymddiriedaeth y gwrandawr ar wahân i TLS y gyrchfan.
3. Gwiriwch ymddiriedaeth y cleient ar wahân. Mae anfon canolraddion yn helpu i adeiladu'r gadwyn, ond mae'r cleient yn dal i fod angen yr angor ymddiriedaeth gwraidd a fwriadwyd. Mae mewnforio cadwyn gyfan y gweinydd i storfa wreiddiau yn ddifeddwl yn newid gwahanol i gywiro'r hyn y mae'r gweinydd yn ei anfon.

Cadwch wirio ymlaen. Mae'n nodi'r procsi HTTPS y bwriadai'r cleient ei ddefnyddio. Ar ôl i'r cysylltiad hwnnw gael ei wirio, mae gwall tystysgrif gwefan hwyrach yn perthyn i sessiwn TLS y gyrchfan drwy'r procsi, gyda'i ymchwiliad enw gwesteiwr ac ymddiriedaeth ei hun.