OpenSSL s_client: o 403 do proxy chega antes do TLS do destino
Interpreta un 403 de CONNECT a través do proxy de OpenSSL como un fallo da etapa de túnel e non diagnostiques o certificado do destino a partir dun handshake que nunca comezou.
Se openssl s_client recibe un HTTP 403 como resposta á súa solicitude CONNECT polo proxy, comeza por ese rexeitamento. O túnel solicitado non se estabeleceu.
Con -proxy, s_client pide primeiro ao proxy HTTP que se conecte ao destino indicado por -connect. Só unha resposta CONNECT correcta converte ese intercambio nun túnel para o handshake TLS do destino.
Esta orde explica unha saída que doutro xeito resulta confusa: un erro do proxy seguido de cabeceiras relacionadas con TLS, ningún certificado do par ou unha liña de verificación aparentemente tranquilizadora. Eses campos non demostran que o certificado do destino se recibise e verificase. A operación detívose nunha etapa anterior.
Anota a resposta do proxy e o host e o porto de destino solicitados. Un 403 dirixe a atención cara á decisión de acceso do proxy; un 407 pide autenticación no proxy. Ningún dos dous se arranxa desactivando a verificación do certificado do destino.
Cando se permite inspeccionar o intercambio, a saída -debug de s_client pode axudar a expor o rexeitamento. Mantén calquera credencial do proxy fóra das trazas compartidas. Un túnel correcto seguiría necesitando despois a súa propia avaliación de TLS e de certificados, pero non hai ningunha cadea de certificados de destino que diagnosticar ata que se acade realmente esa etapa.