Gwallau tystysgrif wrth ddefnyddio dirprwy
Cyn newid gosodiadau tystysgrif, canfyddwch a fethodd dilysu cysylltiad TLS y dirprwy ei hun neu gysylltiad y wefan darged.
Canfyddwch pa ysgwyd llaw TLS a fethodd cyn newid bwndel CA. Gellir gwirio tystysgrif y dirprwy a thystysgrif y wefan ar gysylltiadau gwahanol.
| Dirprwy a tharged | Gwiriadau TLS |
|---|---|
| Dirprwy HTTP i darged HTTPS | Ar ôl CONNECT, dilyswch dystysgrif y targed drwy’r twnnel. |
| Dirprwy HTTPS i darged HTTPS | Dilyswch TLS i’r dirprwy yn gyntaf; ar ôl agor y twnnel, dilyswch y sesiwn TLS ar wahân i’r targed. |
Defnyddiwch yr olrhain manwl i nodi’r enw gwesteiwr a geisiwyd a’r ysgwyd llaw diwethaf a gwblhawyd. Gall gwall tystysgrif dirprwy HTTPS ddigwydd cyn cysylltu â’r wefan. Gwiriwch enw bwriadedig y cysylltiad, cyfnod dilysrwydd y dystysgrif, y cloc lleol, y gadwyn ddisgwyliedig a’r storfa ymddiriedaeth gymeradwy. Cynhwyswch unrhyw ryng-gipio TLS a ffurfweddwyd yn fwriadol neu dystysgrif wraidd a ychwanegwyd yn yr ymchwiliad.
Mae curl yn darparu opsiynau CA ar wahân ar gyfer y ddau gysylltiad:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/Mae --proxy-cacert yn darparu’r sail ymddiriedaeth ar gyfer y dirprwy; --cacert ar gyfer y targed. Newidiwch bwynt terfyn a ffeiliau’r enghraifft i werthoedd y trefniant ymddiriedaeth bwriadedig. Nid oes angen bwndeli personol os yw ymddiriedaeth y system yn ddigonol eisoes.
Mae newid enw gwesteiwr i IP mympwyol yn newid paru tystysgrifau. Gall hepgor dilysu guddio’r methiant heb gadarnhau hunaniaeth y pen arall. Gyda dirprwy anghyfarwydd, nid yw cais i osod ei CA gwraidd yn rheswm digonol dros ymddiried ynddo.
Mae cysylltiad porth a wrthodwyd neu CONNECT a wrthodwyd yn perthyn i gam cynharach; ni all newid tystysgrifau drwsio hynny. I’r gwrthwyneb, ar ôl dilysu TLS y targed, mae gwall HTTP gan y wefan yn ymwneud â’r ymateb a dderbyniwyd, nid addasiad CA arall.