OpenSSL s_client: ה-403 של הפרוקסי מגיע לפני ה-TLS של היעד
פרשו 403 על CONNECT דרך פרוקסי של OpenSSL ככשל בשלב המנהרה, ואל תאבחנו תעודת יעד מתוך לחיצת יד שמעולם לא החלה.
אם openssl s_client מקבל HTTP 403 בתגובה לבקשת ה-CONNECT שלו דרך הפרוקסי, התחילו מהדחייה הזו. המנהרה המבוקשת לא הוקמה.
עם -proxy, s_client מבקש תחילה מפרוקסי ה-HTTP להתחבר ליעד שנקבע באמצעות -connect. רק תגובת CONNECT מוצלחת הופכת את החלופה הזו למנהרה עבור לחיצת היד של TLS ליעד.
הסדר הזה מסביר פלט שמבלבל אחרת: שגיאת פרוקסי שאחריה כותרות הקשורות ל-TLS, אין תעודת עמית, או שורת אימות שנדמית מרגיעה. השדות האלה אינם מוכיחים שתעודת היעד התקבלה ואומתה. הפעולה נעצרה בשלב מוקדם יותר.
תעדו את תגובת הפרוקסי ואת שם המארח והפורט של היעד המבוקש. 403 מפנה את תשומת הלב להחלטת הגישה של הפרוקסי; 407 מבקש אימות מול הפרוקסי. אף אחד מהם אינו מתוקן על ידי כיבוי אימות תעודת היעד.
כאשר מותר לבחון את החלופה, הפלט של -debug ב-s_client יכול לעזור לחשוף את הדחייה. החזיקו כל פרטי התחברות לפרוקסי מחוץ לעקבות משותפים. מנהרה מוצלחת עדיין תזדקק לאחר מכן להערכה משלה של TLS ותעודות, אבל אין שרשרת תעודות יעד לאבחן עד שהשלב הזה יגיע בפועל.