Errores de certificado al usar un proxy
Antes de cambiar los certificados, identifica si falló la verificación de la conexión TLS al propio proxy o al sitio de destino.
Antes de cambiar un paquete de CA, averigua qué negociación TLS falló. El certificado del proxy y el del sitio pueden comprobarse en conexiones distintas.
| Proxy y destino | Comprobaciones TLS |
|---|---|
| Proxy HTTP hacia un destino HTTPS | Después de CONNECT, verifica el certificado del destino a través del túnel. |
| Proxy HTTPS hacia un destino HTTPS | Primero verifica TLS con el proxy; cuando se abra el túnel, verifica la sesión TLS independiente con el destino. |
Usa la traza detallada para identificar el nombre de host solicitado y la última negociación completada. Un fallo de certificado del proxy HTTPS puede ocurrir antes de contactar con el sitio. Comprueba el nombre previsto para esa conexión, el periodo de validez del certificado, el reloj local, la cadena esperada y el almacén de confianza aprobado. Incluye en la investigación cualquier interceptación TLS configurada deliberadamente o certificado raíz añadido.
curl ofrece opciones de CA independientes para las dos conexiones:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert proporciona la confianza para el proxy; --cacert, para el destino. Sustituye el punto de conexión y los archivos del ejemplo por los de la configuración de confianza que quieres usar. No hacen falta paquetes personalizados si la confianza del sistema ya es suficiente.
Cambiar el nombre de host por una IP arbitraria modifica la coincidencia del certificado. Omitir la verificación puede ocultar el fallo sin establecer la identidad del otro extremo. Si no conoces el proxy, que te pida instalar su CA raíz no es motivo suficiente para confiar en él.
Un puerto que rechaza la conexión o un CONNECT rechazado corresponden a una etapa anterior; cambiar certificados no los soluciona. A la inversa, una vez verificado TLS con el destino, un error HTTP del sitio pertenece a la respuesta recibida y no requiere otro ajuste de CA.