Un proxy HTTPS también debe enviar su cadena de certificados

Si los clientes rechazan el proxy HTTPS antes de llegar a un sitio web, inspecciona la cadena que envía el listener del proxy. Un certificado hoja válido por sí solo puede no proporcionar los certificados intermedios que necesita el cliente.

1. Identifica el extremo que se comprueba. Lee el nombre de host en la URL del proxy configurada y el error de esa conexión. El certificado del listener debe cubrir ese nombre. Un certificado de sitio web o un certificado para otro alias de IP no pueden sustituirlo.
2. Comprueba la configuración de la cadena del listener. La configuración de OpenSSL compatible con Squid puede incluir intermedios en el archivo de certificados. Confirma la disposición en la referencia del listener para la versión de Squid instalada y el backend TLS; el comportamiento de los paquetes no es uniforme. El ejemplo de listener TLS de Squid 6.13 mantiene la confianza del listener separada del TLS de destino.
3. Comprueba la confianza del cliente por separado. Enviar los intermedios ayuda a construir la cadena, pero el cliente sigue necesitando el ancla de confianza raíz prevista. Importar toda la cadena del servidor en un almacén de raíces sin discriminación es un cambio distinto de corregir lo que envía el servidor.

Mantén la verificación activada. Identifica el proxy HTTPS que el cliente pretendía usar. Una vez verificada esa conexión, un error posterior de certificado del sitio web pertenece a la sesión TLS de destino a través del proxy, con su propia investigación de nombre de host y confianza.