Rastrear fallos de proxy en comprobaciones de certificados CRL y OCSP
Rastree la obtención de CRL u OCSP con la cuenta del verificador cuando la aplicación llega a su proxy pero la validación del certificado no puede completarse.
Una solicitud a un sitio web puede llegar a su proxy y aun así fallar porque la verificación del certificado necesita otra solicitud de red. La obtención de CRL u OCSP puede ejecutarse mediante un componente de la plataforma con una cuenta y una política de proxy distintas de las del cliente HTTP de la aplicación.
Empiece por el error exacto de la cadena. Revocado significa algo distinto de no se puede obtener la información de revocación actual. La caducidad y un emisor no confiable son otros problemas. Solo el fallo de obtención exige rastrear una ruta ausente hacia una URL de estado.
Para ese fallo, identifique tres cosas a la vez: la URL que se obtiene, el componente que realiza la obtención y la identidad de su proceso. Que un navegador abra la URL correctamente con su cuenta interactiva no demuestra que un servicio pueda autenticarse en el mismo proxy.
Si el componente identificado usa WinHTTP, examine la política aplicable. La configuración estática de proxy y la evaluación automática de proxy por URL son mecanismos separados. Aplique la configuración compatible para la cuenta prevista; copiar la configuración del navegador o cambiar un entorno de ejecución no relacionado puede dejar intacta la obtención real.
En .NET, UrlRetrievalTimeout en la política de cadena controla una espera para la verificación en línea o la obtención de CRL. Ampliar el tiempo de espera habitual de respuesta HTTP no amplía ese mismo temporizador, y ampliar el temporizador de obtención no proporciona credenciales de proxy ni una ruta.
Un proxy HTTPS puede hacer visible esta dependencia incluso antes del TLS de destino: la confianza en la conexión del proxy puede requerir por sí misma la obtención de información de revocación. Restaure el acceso de obtención compatible y la disposición de confianza en esa etapa. Desactivar la comprobación de revocación cambia la política de certificados; no restaura la obtención fallida.