HTTPS proxy također mora poslati svoj lanac certifikata

Dijagnosticirajte nedostajuće posredničke certifikate na TLS slušaču od klijenta do Squida odvojeno od certifikata odredišne web-stranice.

Ako klijenti odbiju HTTPS proxy prije nego što dođu do web-stranice, pregledajte lanac koji šalje slušač proxyja. Samo valjani završni certifikat možda neće pružiti posredničke certifikate koji su klijentu potrebni.

  1. Identificirajte krajnju točku koja se provjerava. Pročitajte naziv hosta u konfiguriranom URL-u proxyja i grešku za tu vezu. Certifikat slušača mora pokrivati taj naziv. Certifikat web-stranice ili certifikat za drugi IP alias ne može ga zamijeniti.
  2. Provjerite konfiguraciju lanca slušača. Podržana OpenSSL konfiguracija Squida može uključiti posredničke certifikate u datoteku certifikata. Potvrdite raspored u referenci slušača za instaliranu verziju Squida i TLS backend; ponašanje paketa nije ujednačeno. Primjer TLS slušača u Squidu 6.13 drži povjerenje slušača odvojeno od TLS-a odredišta.
  3. Provjerite povjerenje klijenta odvojeno. Slanje posredničkih certifikata pomaže izgradnji lanca, ali klijentu i dalje treba predviđeno korijensko sidro povjerenja. Uvoz cijelog poslužiteljeva lanca u korijensko spremište bez razlike drugačija je promjena od ispravljanja onoga što poslužitelj šalje.

Ostavite provjeru uključenom. Ona identificira HTTPS proxy koji je klijent namjeravao koristiti. Nakon što se ta veza provjeri, kasnija greška certifikata web-stranice pripada TLS sesiji odredišta kroz proxy, s vlastitom istragom naziva hosta i povjerenja.

Povezani članci