Quel côté du proxy d'inspection a rejeté le certificat ?

Le client fait confiance au proxy d'inspection approuvé. La requête échoue pourtant à cause d'une erreur de certificat. Les deux faits peuvent être vrais : ce proxy a une autre relation TLS à vérifier.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Dans un dispositif d'interception, l'intermédiaire termine le TLS du client et crée sa propre connexion vers l'aval. Le client peut accepter le certificat présenté de son côté tandis que le proxy rejette le certificat qu'il reçoit du site web.

Lire l'erreur du vérificateur

Déterminez quel processus a signalé la chaîne ou le nom d'hôte en échec. Une page d'erreur générée par le proxy peut atteindre le client avec succès via une connexion valide. Modifier à nouveau le fichier CA du client ne met pas à jour la configuration de confiance en amont du proxy.

Mitmproxy, par exemple, documente des options de confiance en amont distinctes, dont ssl_verify_upstream_trusted_ca. L'administrateur compétent peut configurer une confiance approuvée pour le service en amont tout en préservant la vérification. Un autre produit proxy a besoin de son interface correspondante.

Vérifiez aussi le nom de destination réel et la chaîne. Un service privé sans intermédiaire, un certificat expiré et un émetteur privé non reconnu exigent des réparations différentes. Une exception prévue pour un service privé ne doit pas devenir silencieusement une acceptation globale de tous les certificats.

Un simple tunnel CONNECT est différent

Un tunnel de transfert opaque ne sépare pas le TLS de destination de cette manière. L'application négocie et vérifie normalement elle-même cette session TLS de bout en bout. Établissez d'abord si l'interception fait réellement partie de la route, plutôt que d'appliquer les réglages du proxy d'inspection à n'importe quel intermédiaire.

Consignez les deux résultats de vérification séparément. « Le certificat du proxy est approuvé » répond à la question côté client ; il ne certifie pas ce que le proxy a vu lorsqu'il s'est connecté en amont.