Erros de certificado ao usar un proxy
Antes de cambiar os certificados, identifica se fallou a verificación TLS da conexión co propio proxy ou co sitio de destino.
Antes de cambiar un paquete de CA, identifica que negociación TLS fallou. O certificado do proxy e o do sitio poden comprobarse en conexións diferentes.
| Proxy e destino | Comprobacións TLS |
|---|---|
| Proxy HTTP cara a un destino HTTPS | Despois de CONNECT, verifica o certificado do destino a través do túnel. |
| Proxy HTTPS cara a un destino HTTPS | Primeiro verifica TLS co proxy; cando se abra o túnel, verifica a sesión TLS separada co destino. |
Usa a traza detallada para identificar o nome de host solicitado e a última negociación completada. Un erro de certificado do proxy HTTPS pode ocorrer antes de contactar co sitio. Comproba o nome previsto para esa conexión, o período de validez do certificado, o reloxo local, a cadea esperada e o almacén de confianza aprobado. Inclúe na investigación calquera interceptación TLS configurada deliberadamente ou certificado raíz engadido.
curl ofrece opcións de CA separadas para as dúas conexións:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert fornece a confianza para o proxy; --cacert, para o destino. Substitúe o punto de conexión e os ficheiros do exemplo polos valores da configuración de confianza que queres usar. Non fan falta paquetes personalizados se a confianza do sistema xa é suficiente.
Cambiar un nome de host por unha IP arbitraria modifica a correspondencia do certificado. Omitir a verificación pode ocultar o fallo sen establecer a identidade do outro extremo. Para un proxy descoñecido, unha petición de instalar a súa CA raíz non é motivo suficiente para confiar nel.
Un porto que rexeita a conexión ou un CONNECT rexeitado corresponden a unha etapa anterior; cambiar certificados non o soluciona. Á inversa, unha vez verificado TLS co destino, un erro HTTP do sitio pertence á resposta recibida e non a outro axuste de CA.