OpenSSL s_client: välityspalvelimen 403 tulee ennen kohteen TLS:ää
Tulkitse OpenSSL-välityspalvelimen CONNECT-pyynnön 403 tunnelivaiheen epäonnistumisena äläkä diagnosoi kohteen varmennetta kättelystä, joka ei koskaan alkanut.
Jos openssl s_client saa HTTP 403 -vastauksen välityspalvelimen CONNECT-pyyntöönsä, aloita tuosta hylkäyksestä. Pyydettyä tunnelia ei ole muodostettu.
Valinnalla -proxy s_client pyytää ensin HTTP-välityspalvelinta yhdistämään -connect -valinnalla annettuun kohteeseen. Vain onnistunut CONNECT-vastaus muuttaa tämän vaihdon tunneliksi kohteen TLS-kättelyä varten.
Tämä järjestys selittää muuten hämmentävän tulosteen: välityspalvelimen virhe, jota seuraavat TLS:ään liittyvät otsikot, vastapuolen varmenteen puuttuminen tai näennäisen rauhoittava vahvistusrivi. Nämä kentät eivät todista, että kohteen varmenne on vastaanotettu ja vahvistettu. Toimenpide pysähtyi aikaisempaan vaiheeseen.
Kirjaa välityspalvelimen vastaus sekä pyydetty kohdeisäntä ja -portti. 403 ohjaa huomion välityspalvelimen käyttöpäätökseen; 407 pyytää välityspalvelimen todennusta. Kumpaakaan ei korjata kytkemällä kohteen varmenteen vahvistus pois päältä.
Kun vaihdon tutkiminen on sallittua, s_clientin -debug -tuloste voi auttaa paljastamaan hylkäyksen. Pidä mahdolliset välityspalvelimen tunnukset poissa jaetuista jäljistä. Onnistunut tunneli tarvitsisi silti vielä oman TLS- ja varmenne-arvionsa, mutta kohdevarmenteen ketjua ei ole diagnosoitavana ennen kuin tuo vaihe on todella saavutettu.