שגיאות תעודה בעת שימוש בפרוקסי
לפני שינוי הגדרות התעודות, זהו אם האימות נכשל בחיבור ה-TLS לפרוקסי עצמו או לאתר היעד.
לפני שינוי חבילת CA, מצאו איזו לחיצת יד של TLS נכשלה. תעודת הפרוקסי ותעודת האתר עשויות להיבדק על חיבורים שונים.
| פרוקסי ויעד | בדיקות TLS |
|---|---|
| פרוקסי HTTP אל יעד HTTPS | אחרי CONNECT, אמתו את תעודת היעד דרך המנהרה. |
| פרוקסי HTTPS אל יעד HTTPS | אמתו תחילה TLS אל הפרוקסי; לאחר פתיחת המנהרה, אמתו את שיחת ה-TLS הנפרדת עם היעד. |
השתמשו בפלט המעקב המפורט כדי לזהות את שם המארח המבוקש ואת לחיצת היד האחרונה שהושלמה. כשל בתעודת פרוקסי HTTPS עלול להתרחש לפני יצירת קשר עם האתר. בדקו את השם המיועד לחיבור, את תקופת התוקף של התעודה, את השעון המקומי, את השרשרת הצפויה ואת מאגר האמון המאושר. כללו בבדיקה גם יירוט TLS שהוגדר במכוון או תעודת שורש שנוספה.
curl מספק אפשרויות CA נפרדות לשני החיבורים:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert מספק את בסיס האמון לפרוקסי; --cacert ליעד. החליפו את נקודת הקצה והקבצים שבדוגמה בערכים של הסדר האמון הרצוי. אין צורך בחבילות מותאמות אם האמון של המערכת כבר מספיק.
החלפת שם מארח ב-IP שרירותי משנה את התאמת התעודה. דילוג על האימות יכול להסתיר את הכשל בלי לוודא את זהות הצד השני. אצל פרוקסי לא מוכר, בקשה להתקין את ה-CA השורשי שלו אינה סיבה מספקת לתת בו אמון.
סירוב לחיבור בפורט או דחיית CONNECT שייכים לשלב מוקדם יותר; שינוי תעודות לא יתקן זאת. מנגד, לאחר ש-TLS של היעד אומת, שגיאת HTTP של האתר נוגעת לתגובה שהתקבלה, ולא להתאמת CA נוספת.