Hokker kant fan 'e ynspeksjeproxy wegere it sertifikaat?

De klant fertrout de goedkarde ynspeksjeproxy. It fersyk mislearret dochs troch in sertifikaatflater. Beide feiten kinne wier wêze: dy proxy hat noch in TLS-relaasje te ferifisearjen.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

By ûnderskepping beëiniget de tuskenpersoan de TLS fan 'e klant en makket syn eigen ferbining fierder. De klant kin it sertifikaat akseptearje dat oan syn kant oanbean wurdt, wylst de proxy it sertifikaat fan 'e webside wegere.

Lês de flater fan de ferifisearjer

Bepaal hokker proses de mislearre keatling of hostnamme rapportearre. In flaterside dy't troch de proxy makke is, kin de klant wol berikke oer in jildige ferbining. It nochris feroarjen fan it CA-bestân fan 'e klant bywurket de upstream-fertrouwenskonfiguraasje fan 'e proxy net.

Mitmproxy dokumintearret bygelyks aparte upstream-fertrouwensopsjes, wêrûnder ssl_verify_upstream_trusted_ca. De foechhawwende behearder kin goedkarde fertrouwen foar de upstream-tsjinst ynstelle en de ferifikaasje behâlde. In oar proxyprodukt hat syn eigen oerienkommende ynterface nedich.

Kontrolearje ek de wiere bestimmingsnamme en de keatling. In partikuliere tsjinst sûnder tuskenlizzend sertifikaat, in ferfallen sertifikaat en in ûnbekende partikuliere útjouwer freegje ferskate reparaasjes. In bedoelde útsûndering foar ien partikuliere tsjinst moat net stilwei in wrâldwide akseptaasje fan elk sertifikaat wurde.

In gewoane CONNECT-tunnel is oars

In opake trochstjoertunnel skiedt de TLS fan 'e bestimming net op dizze manier. De applikaasje ûnderhannelt en ferifiearret normaal sels dy TLS-sesje fan ein oant ein. Stel earst fêst oft de ûnderskepping eins diel fan 'e rûte is, ynstee fan ynspeksjeproxy-ynstellingen op elk tuskenpersoan ta te passen.

Registrearje de beide ferifikaasje-útkomsten apart. „It sertifikaat fan 'e proxy is fertroud“ beantwurdet de fraach oan 'e klantkant; it sertifisearret net wat de proxy seach doe't er upstream ferbûn.