Pogreške certifikata pri upotrebi proxyja
Prije promjene postavki certifikata utvrdite je li provjera TLS veze s proxyjem ili s odredišnom web-stranicom bila neuspješna.
Prije promjene CA paketa utvrdite koje TLS rukovanje nije uspjelo. Certifikat proxyja i certifikat web-stranice mogu se provjeravati na različitim vezama.
| Proxy i odredište | TLS provjere |
|---|---|
| HTTP proxy za HTTPS odredište | Nakon CONNECT provjerite certifikat odredišta kroz tunel. |
| HTTPS proxy za HTTPS odredište | Najprije provjerite TLS do proxyja; nakon otvaranja tunela provjerite zasebnu TLS sesiju do odredišta. |
Detaljnim tragom utvrdite zatraženo ime računala i posljednje dovršeno rukovanje. Pogreška certifikata HTTPS proxyja može nastati prije kontakta s web-stranicom. Provjerite predviđeno ime te veze, razdoblje valjanosti certifikata, lokalni sat, očekivani lanac i odobreno spremište povjerenja. U istragu uključite namjerno postavljeno TLS presretanje ili dodani korijenski certifikat.
curl nudi zasebne CA opcije za dvije veze:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert određuje povjerenje za proxy; --cacert za odredište. Zamijenite oglednu krajnju točku i datoteke vrijednostima iz predviđenog sustava povjerenja. Prilagođeni paketi nisu potrebni ako je povjerenje sustava već dovoljno.
Zamjena imena računala proizvoljnim IP-om mijenja podudaranje certifikata. Preskakanje provjere može prikriti pogrešku bez utvrđivanja identiteta druge strane. Kod nepoznatog proxyja zahtjev da instalirate njegov korijenski CA nije dovoljan razlog za povjerenje.
Odbijena veza na port ili odbijen CONNECT pripadaju ranijoj fazi; promjena certifikata to ne može popraviti. Obrnuto, nakon provjere TLS-a odredišta HTTP pogreška web-stranice odnosi se na primljeni odgovor, a ne na novu prilagodbu CA-a.