OpenSSL s_client: το 403 του proxy έρχεται πριν από το TLS του προορισμού
Ερμηνεύστε ένα 403 στο CONNECT μέσω proxy του OpenSSL ως αποτυχία στο στάδιο της σήραγγας και μην κάνετε διάγνωση του πιστοποιητικού προορισμού από χειραψία που δεν ξεκίνησε ποτέ.
Αν το openssl s_client λάβει HTTP 403 ως απάντηση στο αίτημα CONNECT μέσω proxy, ξεκινήστε από αυτή την άρνηση. Η ζητούμενη σήραγγα δεν έχει εγκατασταθεί.
Με το -proxy, το s_client ζητά πρώτα από τον HTTP proxy να συνδεθεί στον προορισμό που ορίζει το -connect. Μόνο μια επιτυχής απάντηση CONNECT μετατρέπει αυτή την ανταλλαγή σε σήραγγα για τη χειραψία TLS του προορισμού.
Αυτή η σειρά εξηγεί μια κατά τα άλλα μπερδεμένη έξοδο: σφάλμα proxy που ακολουθείται από επικεφαλίδες σχετικές με TLS, κανένα πιστοποιητικό ομολόγου ή μια φαινομενικά καθησυχαστική γραμμή επαλήθευσης. Αυτά τα πεδία δεν αποδεικνύουν ότι το πιστοποιητικό του προορισμού ελήφθη και επαληθεύτηκε. Η πράξη σταμάτησε σε προγενέστερο στάδιο.
Καταγράψτε την απάντηση του proxy καθώς και τον ζητούμενο κεντρικό υπολογιστή και θύρα προορισμού. Ένα 403 στρέφει την προσοχή στην απόφαση πρόσβασης του proxy· ένα 407 ζητά έλεγχο ταυτότητας στον proxy. Κανένα από τα δύο δεν διορθώνεται απενεργοποιώντας την επαλήθευση του πιστοποιητικού προορισμού.
Όταν επιτρέπεται η επιθεώρηση της ανταλλαγής, η έξοδος -debug του s_client μπορεί να βοηθήσει στην αποκάλυψη της άρνησης. Κρατήστε τυχόν διαπιστευτήρια proxy έξω από κοινόχρηστα ίχνη. Μια επιτυχής σήραγγα θα χρειαζόταν στη συνέχεια τη δική της αξιολόγηση TLS και πιστοποιητικών, αλλά δεν υπάρχει αλυσίδα πιστοποιητικών προορισμού για διάγνωση έως ότου φτάσουμε πραγματικά σε εκείνο το στάδιο.