OpenSSL s_client: puhverserveri 403 tuleb enne sihtkoha TLS-i
Tõlgenda OpenSSL-i puhverserveri CONNECT-i 403 tunnelietapi tõrkena ja ära diagnoosi sihtkoha sertifikaati handshake'i põhjal, mis ei alanudki.
Kui openssl s_client saab oma puhverserveri CONNECT-päringule vastuseks HTTP 403, alusta sellest keeldumisest. Taotletud tunnelit ei ole loodud.
Valikuga -proxy palub s_client esmalt HTTP-puhverserveril ühenduda sihtkohaga, mille määrab -connect. Ainult õnnestunud CONNECT-vastus muudab selle vahetuse tunneliks sihtkoha TLS-handshake'i jaoks.
See järjestus selgitab muidu segadust tekitavat väljundit: puhverserveri viga, millele järgnevad TLS-iga seotud pealkirjad, vastaspoole sertifikaadi puudumine või näiliselt rahustav kontrollirida. Need väljad ei tõesta, et sihtkoha sertifikaat võeti vastu ja kontrolliti. Toiming peatus varasemas etapis.
Pane kirja puhverserveri vastus ning taotletud sihtkoha host ja port. 403 suunab tähelepanu puhverserveri juurdepääsuotsusele; 407 nõuab puhverserveri autentimist. Kumbagi ei paranda sihtkoha sertifikaadi kontrolli väljalülitamine.
Kui vahetust on lubatud uurida, võib s_clienti -debug väljund aidata keeldumist paljastada. Hoia puhverserveri volitused jagatud jälgedest eemal. Õnnestunud tunnel vajaks seejärel siiski oma TLS-i ja sertifikaatide hindamist, kuid sihtkoha sertifikaadiahelat ei ole enne diagnoosimiseks olemas, kui see etapp on tegelikult saavutatud.