Välityspalvelinvirheiden jäljittäminen CRL- ja OCSP-varmentetarkistuksissa
Jäljitä CRL- tai OCSP-nouto vahvistajan tilillä, kun sovellus saavuttaa välityspalvelimensa mutta varmenteen validointi ei voi valmistua.
Verkkosivuston pyyntö voi saavuttaa välityspalvelimensa ja silti epäonnistua, koska varmenteen tarkistus tarvitsee toisen verkkopyynnön. CRL- tai OCSP-nouto voi kulkea alustakomponentin kautta, jonka tili ja välityspalvelinkäytäntö eroavat sovelluksen HTTP-asiakasohjelmasta.
Aloita ketjun tarkasta virheestä. Peruutettu tarkoittaa jotain muuta kuin nykyisen peruutustiedon noutaminen ei onnistu. Vanheneminen ja epäluotettava myöntäjä ovat taas eri ongelmia. Vain noutovirhe edellyttää puuttuvan reitin jäljittämistä tilan URL-osoitteeseen.
Tunnista siinä virheessä kolme asiaa yhdessä: noudettava URL, noudon suorittava komponentti ja sen prosessin identiteetti. Se, että selain avaa URL-osoitteen onnistuneesti interaktiivisella tililläsi, ei todista, että palvelu voi todentaa itsensä samaan välityspalvelimeen.
Jos tunnistettu komponentti käyttää WinHTTP:tä, tutki siihen sovellettavaa käytäntöä. Staattinen välityspalvelinkokoonpano ja URL-kohtainen automaattinen välityspalvelimen arviointi ovat erillisiä mekanismeja. Käytä tuettua kokoonpanoa aiottuun tiliin; selaimen asetusten kopioiminen tai riippumattoman ajonaikaisen ympäristön muuttaminen voi jättää varsinaisen noudon koskemattomaksi.
.NET:ssä ketjukäytännön UrlRetrievalTimeout ohjaa verkkotarkistuksen tai CRL-noudon odotusta. Tavallisen HTTP-vastauksen aikakatkaisun pidentäminen ei pidennä samaa ajastinta, eikä noutoajastimen pidentäminen anna välityspalvelimen tunnistetietoja tai reittiä.
HTTPS-välityspalvelin voi tehdä tämän riippuvuuden näkyväksi jo ennen kohteen TLS:ää: luottamus välityspalvelinyhteyteen voi itsessään vaatia peruutustiedon noutoa. Palauta tuettu noutoyhteys ja luottamusjärjestely siinä vaiheessa. Peruutustarkistuksen poistaminen käytöstä muuttaa varmentekäytäntöä; se ei palauta epäonnistunutta noutoa.