Proxyfehler bei CRL- und OCSP-Zertifikatsprüfungen nachverfolgen
Verfolgen Sie den CRL- oder OCSP-Abruf unter dem Konto des Prüfers, wenn die Anwendung ihren Proxy erreicht, die Zertifikatsvalidierung aber nicht abgeschlossen werden kann.
Eine Website-Anfrage kann ihren Proxy erreichen und dennoch fehlschlagen, weil die Zertifikatsprüfung eine weitere Netzwerkanfrage benötigt. Ein CRL- oder OCSP-Abruf kann über eine Plattformkomponente mit einem anderen Konto und einer anderen Proxyrichtlinie als denen des HTTP-Clients der Anwendung laufen.
Beginnen Sie mit dem genauen Kettenfehler. Widerrufen bedeutet etwas anderes als aktuelle Widerrufsinformationen können nicht abgerufen werden. Ablauf und ein nicht vertrauenswürdiger Aussteller sind wieder andere Probleme. Nur der Abruffehler erfordert die Nachverfolgung einer fehlenden Route zu einer Status-URL.
Für diesen Fehler identifizieren Sie drei Dinge gemeinsam: die abgerufene URL, die Komponente, die den Abruf durchführt, und deren Prozessidentität. Dass ein Browser die URL unter Ihrem interaktiven Konto erfolgreich öffnet, beweist nicht, dass sich ein Dienst am selben Proxy authentifizieren kann.
Wenn die identifizierte Komponente WinHTTP verwendet, untersuchen Sie die für sie geltende Richtlinie. Statische Proxykonfiguration und automatische Proxyauswertung pro URL sind getrennte Mechanismen. Wenden Sie die unterstützte Konfiguration für das vorgesehene Konto an; das Kopieren von Browsereinstellungen oder das Ändern einer unabhängigen Laufzeit kann den tatsächlichen Abruf unberührt lassen.
In .NET steuert UrlRetrievalTimeout in der Kettenrichtlinie eine Wartezeit für die Online-Überprüfung oder den CRL-Abruf. Das Verlängern des gewöhnlichen HTTP-Antwort-Timeouts verlängert nicht denselben Timer, und das Verlängern des Abruf-Timers liefert keine Proxy-Anmeldeinformationen und keine Route.
Ein HTTPS-Proxy kann diese Abhängigkeit sogar vor dem Ziel-TLS sichtbar machen: Das Vertrauen in die Proxyverbindung kann selbst einen Widerrufsabruf erfordern. Stellen Sie in dieser Phase den unterstützten Abrufzugriff und die Vertrauensregelung wieder her. Das Deaktivieren der Widerrufsprüfung ändert die Zertifikatsrichtlinie; es stellt den fehlgeschlagenen Abruf nicht wieder her.