OpenSSL s_client: la prokura 403 okazas antaŭ la celloka TLS
Interpretu 403 de OpenSSL-prokuro ĉe CONNECT kiel malsukceson de la tunela fazo kaj ne diagnozu cellokan atestilon per manpremo, kiu neniam komenciĝis.
Se openssl s_client ricevas HTTP 403 responde al sia prokura CONNECT-peto, komencu per tiu rifuzo. La petita tunelo ne estis starigita.
Kun -proxy, s_client unue petas al la HTTP-prokuro konektiĝi al la celo indikita per -connect. Nur sukcesa CONNECT-respondo transformas tiun interŝanĝon en tunelon por la celloka TLS-manpremo.
Tiu ordo klarigas alikaze konfuzan eligon: prokura eraro sekvata de TLS-rilataj titoloj, manko de samtavola atestilo aŭ ŝajne trankviliga kontrol-linio. Tiuj kampoj ne pruvas, ke la celloka atestilo estis ricevita kaj kontrolita. La operacio haltis ĉe pli frua fazo.
Notu la prokuran respondon kaj la petitajn cellokan gastiganton kaj pordon. 403 direktas la atenton al la alirdecido de la prokuro; 407 petas prokuran aŭtentikigon. Nek unu nek la alia ripariĝas per malŝalto de la kontrolo de la celloka atestilo.
Kiam eblas ekzameni la interŝanĝon, la -debug-eligo de s_client povas helpi malkaŝi la rifuzon. Tenu ĉiajn prokurajn identigilojn ekster komunaj spuroj. Sukcesa tunelo ankoraŭ poste bezonus propran TLS- kaj atestilan takson, sed ne ekzistas celloka atestila ĉeno por diagnozi ĝis tiu fazo efektive atingiĝos.