Olrhain methiannau dirprwy mewn gwiriadau tystysgrif CRL ac OCSP
Olrheiniwch gaffael CRL neu OCSP o dan gyfrif y gwiriwr pan fydd y rhaglen yn cyrraedd ei dirprwy ond nad yw dilysu tystysgrif yn gallu gorffen.
Gall cais gwefan gyrraedd ei ddirprwy ac eto fethu oherwydd bod gwirio tystysgrif angen cais rhwydwaith arall. Gall caffael CRL neu OCSP redeg drwy gydran llwyfan sydd â chyfrif a pholisi dirprwy gwahanol i glient HTTP y rhaglen.
Dechreuwch gyda'r gwall cadwyn union. Mae wedi ei ddirymu yn golygu rhywbeth gwahanol i methu â chael gwybodaeth ddirymu gyfredol. Mae dod i ben ac awdurdod annibynadwy yn broblemau gwahanol eto. Dim ond y methiant caffael sydd angen olrhain llwybr coll i URL statws.
Ar gyfer y methiant hwnnw, nodwch dri pheth gyda'i gilydd: yr URL sy'n cael ei gaffael, y gydran sy'n gwneud y caffaeliad a hunaniaeth ei phroses. Nid yw porwr yn agor yr URL yn llwyddiannus o dan eich cyfrif rhyngweithiol yn profi y gall gwasanaeth ddilysu i'r un dirprwy.
Os yw'r gydran a nodwyd yn defnyddio WinHTTP, archwiliwch y polisi sy'n berthnasol iddi. Mae cyfluniad dirprwy statig a gwerthuso dirprwy awtomatig fesul URL yn fecanweithiau ar wahân. Cymhwyswch y cyfluniad a gefnogir ar gyfer y cyfrif a fwriadwyd; gall copïo gosodiadau porwr neu newid amgylchedd rhedeg heb berthyn gadael y caffaeliad gwirioneddol heb ei gyffwrdd.
Yn .NET, mae UrlRetrievalTimeout ar bolisi'r gadwyn yn rheoli aros am wirio ar-lein neu gaffael CRL. Nid yw ymestyn y terfyn amser ymateb HTTP arferol yn ymestyn yr un amserydd, ac nid yw ymestyn yr amserydd caffael yn darparu tystlythyrau dirprwy nac yn rhoi llwybr.
Gall dirprwy HTTPS wneud y dibyniaeth hon yn weladwy hyd yn oed cyn TLS y gyrchfan: efallai y bydd ymddiriedaeth yng nghysylltiad y dirprwy ei hun angen caffael gwybodaeth ddirymu. Adferwch y mynediad caffael a gefnogir a'r trefniant ymddiriedaeth ar y cam hwnnw. Mae analluogi gwirio dirymu yn newid polisi tystysgrif; nid yw'n adfer y caffaeliad a fethodd.