WRONG_VERSION_NUMBER við proxy: kanna HTTP móti HTTPS

Villan segir “röng útgáfa”, svo freistandi er að byrja að skipta um TLS-útgáfur. Með proxy skaltu kanna fyrri möguleika: sendi biðlarinn TLS-handaband á gátt sem beið eftir venjulegu HTTP?

Áfangastaður eins og https://example.com/ og proxy eins og http://proxy.example:8080 eru venjulegt par. Að breyta seinni slóðinni í HTTPS segir biðlaranum að dulkóða samtal sitt við proxyið sjálft. Það er ekki fyrirmæli um að leyfa HTTPS-vefsíður.

Finndu fyrsta TLS-samtalið

Með HTTP-proxy getur biðlarinn fyrst sent CONNECT og fengið HTTP-svar. Aðeins þá hefur hann áfangastaðar-TLS inni í göngunni. Með HTTPS-proxy kemur fyrst sérstök TLS-tenging við proxyið.

TLS-greinandinn sem tekur á móti HTTP-villusíðu eða öðrum venjulegum texta getur tilkynnt samskiptaregluvillu. Orðalagið staðfestir ekki hvaða TLS-útgáfur vefsíðan styður, né hvort haft var samband við vefsíðuna.

1. Skráðu slóð proxysins, þar á meðal skemað, og skjalfesta samskiptareglu endapunktsins.
2. Finndu út hvort bilunin varð fyrir CONNECT-svari, meðan á áfangastaðar-TLS stóð eða við sannprófun á eigin vottorði proxysins.
3. Kannaðu raunverulegar útgáfur biðlara og háðra pakka þegar þú berð saman gamla vinnulausn. Fyrri útfærslur proxy meðhöndluðu skema stundum öðruvísi.

Nokkrar lagfæringar geta verið rangar af mismunandi ástæðum. HTTP-proxylistinn býður venjulega HTTP-endapunkta fyrir opinberar beiðnir sem leyfðar eru um slíka leið. Venjulegur HTTP-endapunktur þarf HTTP-proxyskemað; endapunktur sem er raunverulega TLS-virkjaður ætti að halda HTTPS og vottorðasannprófun sinni. Proxy sem hafnar CONNECT þarf studda þjónustu eða stefnu, ekki geðþótta lækkun á safninu.

Haltu fyrstu sýnilegu biluninni. Slökkt á vottorðasannprófun getur ekki fengið hlustanda sem aðeins talar HTTP til að tala TLS, og val á gamalli dulritunarstefnu getur ekki útskýrt HTTP-höfnun sem send var fyrir handaband vefsíðunnar.