Un proxy HTTPS tamén debe enviar a súa cadea de certificados

Se os clientes rexeitan o proxy HTTPS antes de chegar a un sitio web, inspecciona a cadea que envía o listener do proxy. Un certificado folla válido por si só pode non fornecer os certificados intermedios que necesita o cliente.

1. Identifica o extremo que se comproba. Le o nome de host na URL do proxy configurada e o erro desa conexión. O certificado do listener debe cubrir ese nome. Un certificado de sitio web ou un certificado para outro alias IP non poden substituílo.
2. Comproba a configuración da cadea do listener. A configuración de OpenSSL compatible con Squid pode incluír intermedios no ficheiro de certificados. Confirma a disposición na referencia do listener para a versión de Squid instalada e o backend TLS; o comportamento dos paquetes non é uniforme. O exemplo de listener TLS de Squid 6.13 mantén a confianza do listener separada do TLS de destino.
3. Comproba a confianza do cliente por separado. Enviar os intermedios axuda a construír a cadea, pero o cliente aínda necesita a áncora de confianza raíz prevista. Importar toda a cadea do servidor nun almacén de raíces sen discernimento é un cambio distinto de corrixir o que envía o servidor.

Mantén a verificación activada. Identifica o proxy HTTPS que o cliente pretendía usar. Unha vez verificada esa conexión, un erro posterior de certificado do sitio web pertence a a sesión TLS de destino a través do proxy, coa súa propia investigación de nome de host e confianza.