Ce fichier .csr reste une demande de certificat
Distinguez les demandes de certificat, les certificats émis et les clés privées avant d'affecter des fichiers à la configuration TLS d'un proxy.
server.csr est généralement une demande adressée à une autorité de certification pour qu'elle émette un certificat. Pointer l'option de certificat d'un proxy vers ce fichier ne termine pas cette procédure.
Regardez à l'intérieur du fichier PEM :
-----BEGIN CERTIFICATE REQUEST-----
-----BEGIN CERTIFICATE-----
-----BEGIN PRIVATE KEY-----Ces étiquettes décrivent des objets différents. Une demande n'est pas un certificat émis, et sa clé privée non plus. Renommer un fichier en .pem n'y change rien.
Pour un écouteur TLS qui identifie le proxy, utilisez le certificat émis pour ce nom de proxy et la clé correspondante, selon la disposition documentée par le logiciel. openssl req inspecte les demandes de certificat ; openssl x509 inspecte les certificats. Utilisez l'analyseur adapté à l'objet dont vous disposez. Pour Squid 6.13, utilisez le certificat émis et la clé correspondante dans son écouteur TLS.
Un certificat de serveur ordinaire diffère aussi d'une AC utilisée pour une interception autorisée. Il ne confère pas le droit de signer les certificats de sites web sans rapport.
Confirmez les types d'objets et l'appariement des clés avant d'examiner les contrôles de nom d'hôte ou l'accessibilité du réseau. TLS ne peut pas utiliser un certificat qui n'a jamais été fourni.