પ્રોક્સી વાપરતી વખતે સર્ટિફિકેટની ભૂલો
સર્ટિફિકેટ સેટિંગ બદલતાં પહેલાં ઓળખો કે ચકાસણી પ્રોક્સીના પોતાના TLS જોડાણમાં નિષ્ફળ થઈ કે ગંતવ્ય વેબસાઇટમાં.
CA બંડલ બદલતાં પહેલાં કયો TLS હેન્ડશેક નિષ્ફળ થયો તે શોધો. પ્રોક્સી અને વેબસાઇટનાં સર્ટિફિકેટ અલગ જોડાણોમાં ચકાસાઈ શકે છે.
| પ્રોક્સી અને ગંતવ્ય | TLS ચકાસણીઓ |
|---|---|
| HTTPS ગંતવ્ય માટે HTTP પ્રોક્સી | CONNECT પછી ટનલ દ્વારા ગંતવ્યનું સર્ટિફિકેટ ચકાસો. |
| HTTPS ગંતવ્ય માટે HTTPS પ્રોક્સી | પહેલાં પ્રોક્સી સુધીનું TLS ચકાસો; ટનલ ખુલ્યા પછી ગંતવ્યનું અલગ TLS સત્ર ચકાસો. |
વિગતવાર ટ્રેસથી માગેલું હોસ્ટનામ અને છેલ્લો પૂરો થયેલો હેન્ડશેક ઓળખો. HTTPS પ્રોક્સીના સર્ટિફિકેટની ભૂલ વેબસાઇટનો સંપર્ક કરતાં પહેલાં આવી શકે છે. એ જોડાણનું ધારેલું નામ, સર્ટિફિકેટની માન્યતા અવધિ, સ્થાનિક ઘડિયાળ, અપેક્ષિત ચેઇન અને મંજૂર ટ્રસ્ટ સ્ટોર ચકાસો. ઇરાદાપૂર્વક ગોઠવેલું TLS ઇન્ટરસેપ્શન અથવા ઉમેરેલું રૂટ સર્ટિફિકેટ પણ તપાસમાં સામેલ કરો.
curl બંને જોડાણો માટે અલગ CA વિકલ્પ આપે છે:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert પ્રોક્સી માટે વિશ્વાસનો આધાર આપે છે; --cacert ગંતવ્ય માટે. ઉદાહરણના એન્ડપોઇન્ટ અને ફાઇલોને તમારી ઇચ્છિત વિશ્વાસ વ્યવસ્થાનાં મૂલ્યોથી બદલો. સિસ્ટમનો વિશ્વાસ પહેલેથી પૂરતો હોય તો કસ્ટમ બંડલની જરૂર નથી.
હોસ્ટનામની જગ્યાએ મનસ્વી IP મૂકવાથી સર્ટિફિકેટનું મિલાન બદલાય છે. ચકાસણી છોડવાથી ભૂલ છુપાઈ શકે, પણ સામેના છેડાની ઓળખ સ્થાપિત થતી નથી. અજાણ્યા પ્રોક્સીની પોતાનો રૂટ CA સ્થાપિત કરવાની માગણી તેના પર વિશ્વાસ કરવા માટે પૂરતું કારણ નથી.
પોર્ટ જોડાણનો ઇનકાર અથવા CONNECT નકારાવું પહેલાંના તબક્કાની વાત છે; સર્ટિફિકેટ બદલવાથી તે ઠીક થતું નથી. બીજી તરફ, ગંતવ્યનું TLS ચકાસાઈ ગયા પછી વેબસાઇટની HTTP ભૂલ મળેલા પ્રતિસાદનો વિષય છે, વધુ એક CA ફેરફારનો નહીં.