Ένας διακομιστής μεσολάβησης HTTPS πρέπει να στέλνει και την αλυσίδα πιστοποιητικών του

Αν οι πελάτες απορρίπτουν τον μεσολαβητή HTTPS πριν φτάσουν σε έναν ιστότοπο, ελέγξτε την αλυσίδα που στέλνει ο ακροατής του μεσολαβητή. Ένα έγκυρο τελικό πιστοποιητικό από μόνο του μπορεί να μην παρέχει τα ενδιάμεσα πιστοποιητικά που χρειάζεται ο πελάτης.

1. Προσδιορίστε το τελικό σημείο που ελέγχεται. Διαβάστε το όνομα κεντρικού υπολογιστή στη ρυθμισμένη διεύθυνση URL του μεσολαβητή και το σφάλμα για αυτή τη σύνδεση. Το πιστοποιητικό του ακροατή πρέπει να καλύπτει αυτό το όνομα. Ένα πιστοποιητικό ιστότοπου ή πιστοποιητικό για άλλο ψευδώνυμο IP δεν μπορεί να το αντικαταστήσει.
2. Ελέγξτε τη διαμόρφωση αλυσίδας του ακροατή. Η υποστηριζόμενη διαμόρφωση OpenSSL του Squid μπορεί να περιλαμβάνει ενδιάμεσα στο αρχείο πιστοποιητικών. Επιβεβαιώστε τη διάταξη στην αναφορά του ακροατή για την εγκατεστημένη έκδοση Squid και το TLS backend· η συμπεριφορά των πακέτων δεν είναι ομοιόμορφη. Το παράδειγμα ακροατή TLS του Squid 6.13 κρατά την εμπιστοσύνη του ακροατή χωριστά από το TLS του προορισμού.
3. Ελέγξτε την εμπιστοσύνη του πελάτη ξεχωριστά. Η αποστολή ενδιάμεσων βοηθά στην κατασκευή της αλυσίδας, αλλά ο πελάτης εξακολουθεί να χρειάζεται την προβλεπόμενη ρίζα εμπιστοσύνης. Η εισαγωγή ολόκληρης της αλυσίδας του διακομιστή σε έναν χώρο ριζών χωρίς διάκριση είναι διαφορετική αλλαγή από τη διόρθωση αυτού που στέλνει ο διακομιστής.

Αφήστε την επαλήθευση ενεργή. Προσδιορίζει τον μεσολαβητή HTTPS που σκόπευε να χρησιμοποιήσει ο πελάτης. Αφού επαληθευτεί αυτή η σύνδεση, ένα μεταγενέστερο σφάλμα πιστοποιητικού ιστότοπου ανήκει στην περίοδο σύνδεσης TLS του προορισμού μέσω του μεσολαβητή, με δική της έρευνα ονόματος κεντρικού υπολογιστή και εμπιστοσύνης.