Sertifikaadivead proksi kasutamisel
Enne sertifikaadisätete muutmist tee kindlaks, kas kontroll ebaõnnestus proksi enda TLS-ühendusel või sihtveebisaidi ühendusel.
Enne CA-paki muutmist selgita välja, milline TLS-kätlus ebaõnnestus. Proksi ja veebisaidi sertifikaate võidakse kontrollida eri ühendustel.
| Proksi ja sihtkoht | TLS-kontrollid |
|---|---|
| HTTP-proksi HTTPS-sihtkoha jaoks | Pärast CONNECTi kontrolli tunneli kaudu sihtkoha sertifikaati. |
| HTTPS-proksi HTTPS-sihtkoha jaoks | Kontrolli kõigepealt TLS-i proksini; pärast tunneli avanemist kontrolli eraldi TLS-seanssi sihtkohani. |
Leia üksikasjalikust jäljest taotletud hostinimi ja viimane lõpetatud kätlus. HTTPS-proksi sertifikaadiviga võib ilmneda enne veebisaidiga ühenduse võtmist. Kontrolli selle ühenduse kavandatud nime, sertifikaadi kehtivusaega, kohalikku kella, oodatud ahelat ja heakskiidetud usaldushoidlat. Arvesta uurimisel ka teadlikult seadistatud TLS-i pealtkuulamist või lisatud juursertifikaati.
curlil on nende kahe ühenduse jaoks eraldi CA-suvandid:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert määrab usalduse proksi jaoks; --cacert sihtkoha jaoks. Asenda näite lõpp-punkt ja failid kavandatud usaldusseadistuse väärtustega. Eraldi pakid on tarbetud, kui süsteemi usaldusest juba piisab.
Hostinime asendamine suvalise IP-ga muudab sertifikaadi vastavuse kontrolli. Kontrolli vahelejätmine võib vea peita, kuid ei tuvasta vastaspoole identiteeti. Tundmatu proksi puhul ei ole selle juur-CA paigaldamise palve piisav põhjus seda usaldada.
Keeldutud pordiühendus või tagasilükatud CONNECT kuulub varasemasse etappi; sertifikaatide muutmine seda ei paranda. Seevastu pärast sihtkoha TLS-i kontrolli saadud veebisaidi HTTP-viga puudutab vastuvõetud vastust, mitte uut CA-kohandust.