Undersøg et webstedscertifikat gennem en HTTP-proxy med OpenSSL
Brug OpenSSL s_client gennem en HTTP CONNECT-proxy, og hold destinationsnavn, SNI og certifikatverifikation afstemt.
Brug en installeret OpenSSL s_client, der understøtter -proxy. For et godkendt HTTP CONNECT-endepunkt:
openssl s_client -proxy proxy.example:3128 -connect example.com:443 -servername example.com -verify_hostname example.com -verify_return_error -showcertsErstat proxyadressen, og brug det tilsigtede destinationsnavn konsekvent. Til en test af en offentlig destination gennem en proxy, du må vælge, skal du vælge en HTTP-kandidat fra HTTP-proxylisten. -connect vælger målet, -servername sender SNI for dets TLS-virtuelle vært, og -verify_hostname kontrollerer identiteten. SNI alene er ikke værtsnavneverifikation. Se manualen for den installerede version, når du tilpasser indstillinger.
-showcerts viser, hvad serveren sendte, ikke at kæden er betroet. -verify_return_error får verifikationsfejl til at afslutte håndtrykket; ellers kan diagnoseklienten fortsætte efter fejl. Brug godkendt CA-materiale til en privat tjeneste i stedet for at stole på et vilkårligt downloadet certifikat.
| Resultat | Fase |
|---|---|
| 407 | Proxygodkendelse før destinationens TLS. |
| Afvist CONNECT-mål | Proxyens destinationspolitik. |
| Certifikat modtaget og verifikation forsøgt | Destinationens TLS-udveksling gennem den accepterede tunnel. |
Med OpenSSL 3.x og en HTTP-proxy med Basic-godkendelse skal du bruge s_client-proxykontoindstillingerne, mens destinationsverifikationen bevares.
Et SOCKS-only-endepunkt leverer ikke den HTTP-proxygrænseflade, som denne kommando bruger. Ved godkendt TLS-interception kan det viste certifikat være udstedt af denne mellemmand. Sammenlign udstederen og den tilsigtede tillidsordning, før forskellen tilskrives et defekt websted.