Zertifikatsfehler bei der Verwendung eines Proxys
Klären Sie vor Änderungen an Zertifikatseinstellungen, ob die TLS-Verbindung zum Proxy selbst oder zur Zielwebsite bei der Prüfung gescheitert ist.
Finden Sie vor dem Ändern eines CA-Bundles heraus, welcher TLS-Handshake fehlgeschlagen ist. Proxy- und Website-Zertifikat können auf unterschiedlichen Verbindungen geprüft werden.
| Proxy und Ziel | TLS-Prüfungen |
|---|---|
| HTTP-Proxy für ein HTTPS-Ziel | Nach CONNECT das Zielzertifikat durch den Tunnel prüfen. |
| HTTPS-Proxy für ein HTTPS-Ziel | Zuerst TLS zum Proxy prüfen; nach dem Öffnen des Tunnels die separate TLS-Sitzung zum Ziel prüfen. |
Ermitteln Sie anhand der ausführlichen Ablaufverfolgung den angeforderten Hostnamen und den letzten abgeschlossenen Handshake. Ein Zertifikatsfehler am HTTPS-Proxy kann auftreten, bevor die Website kontaktiert wird. Prüfen Sie den vorgesehenen Namen dieser Verbindung, die Gültigkeitsdauer des Zertifikats, die lokale Uhr, die erwartete Zertifikatskette und den freigegebenen Vertrauensspeicher. Beziehen Sie absichtlich eingerichtete TLS-Interception oder hinzugefügte Stammzertifikate in die Untersuchung ein.
curl bietet getrennte CA-Optionen für die beiden Verbindungen:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert legt die Vertrauensgrundlage für den Proxy fest; --cacert die für das Ziel. Ersetzen Sie Beispielendpunkt und Dateien durch Werte aus der vorgesehenen Vertrauenskonfiguration. Eigene Bundles sind unnötig, wenn der Systemvertrauensspeicher bereits ausreicht.
Ein beliebiger IP-Ersatz für den Hostnamen verändert den Zertifikatsabgleich. Das Überspringen der Prüfung kann den Fehler verdecken, ohne die Identität der Gegenstelle festzustellen. Bei einem unbekannten Proxy ist die Aufforderung, seine Root-CA zu installieren, kein ausreichender Grund, ihm zu vertrauen.
Ein abgewiesener Port oder ein abgelehntes CONNECT gehört zu einer früheren Phase; Zertifikatsänderungen beheben das nicht. Umgekehrt betrifft ein HTTP-Fehler der Website nach erfolgreicher Ziel-TLS-Prüfung die empfangene Antwort und erfordert keine weitere CA-Anpassung.