OpenSSL s_client: daw 403 y proxy cyn TLS y cyrchfan
Dehonglwch 403 ar CONNECT drwy proxy OpenSSL fel methiant yng ngham y twnnel ac na wnewch ddiagnosis ar dystysgrif cyrchfan o ysgwyd llaw na ddechreuodd erioed.
Os yw openssl s_client yn cael HTTP 403 fel ateb i'w gais CONNECT drwy'r proxy, dechreuwch gyda'r gwrthodiad hwnnw. Ni sefydlwyd y twnnel y gofynnwyd amdano.
Gyda -proxy, mae s_client yn gofyn i'r proxy HTTP gysylltu â'r gyrchfan a bennir gan -connect. Dim ond ateb CONNECT llwyddiannus sy'n troi'r gyfnewid hon yn dwnnel ar gyfer ysgwyd llaw TLS y gyrchfan.
Mae'r drefn hon yn esbonio allbwn sy'n ddryslyd fel arall: gwall proxy wedi'i ddilyn gan benawdau sy'n ymwneud â TLS, dim tystysgrif cymar, neu linell dilysu sy'n ymddangos yn gysurus. Nid yw'r meysydd hynny'n profi bod tystysgrif y gyrchfan wedi'i chael a'i dilysu. Stopiodd y llawdriniaeth ar gam cynharach.
Cofnodwch ateb y proxy a gwesteiwr a phorth y gyrchfan y gofynnwyd amdani. Mae 403 yn tynnu sylw at benderfyniad mynediad y proxy; mae 407 yn gofyn am ddilysiad proxy. Ni wneir trwsio'r naill na'r llall drwy analluogi dilysu tystysgrif y gyrchfan.
Pan ganiateir archwilio'r gyfnewid, gall allbwn -debug s_client helpu i ddatgelu'r gwrthodiad. Cadwch unrhyw gymwysterau proxy allan o olion a rennir. Byddai angen asesiad TLS a thystysgrifau ei hun ar dwnnel llwyddiannus wedyn, ond nid oes cadwyn dystysgrifau targed i'w diagnosis nes cyrraedd y cam hwnnw mewn gwirionedd.