OpenSSL s_client: 403 od proxyja dolazi prije TLS-a odredišta
Tumačite 403 na CONNECT kroz OpenSSL proxy kao neuspjeh u fazi tunela i ne dijagnosticirajte certifikat odredišta na temelju rukovanja koje nije ni počelo.
Ako openssl s_client primi HTTP 403 kao odgovor na svoj CONNECT zahtjev kroz proxy, počnite od tog odbijanja. Traženi tunel nije uspostavljen.
Uz -proxy s_client najprije traži od HTTP proxyja da se poveže s odredištem navedenim u -connect. Samo uspješan CONNECT odgovor pretvara tu razmjenu u tunel za TLS rukovanje s odredištem.
Taj slijed objašnjava inače zbunjujući izlaz: pogrešku proxyja nakon koje slijede TLS naslovi, izostanak certifikata druge strane ili naizgled umirujuću liniju provjere. Ta polja ne dokazuju da je certifikat odredišta primljen i provjeren. Radnja se zaustavila u ranijoj fazi.
Zabilježite odgovor proxyja te traženi host i port odredišta. 403 usmjerava pozornost na odluku proxyja o pristupu; 407 zahtijeva autentifikaciju na proxyju. Ni jedno se ne ispravlja isključivanjem provjere certifikata odredišta.
Kada je dopušteno pregledati razmjenu, izlaz -debug u s_clientu može pomoći otkriti odbijanje. Držite sve proxy vjerodajnice izvan zajedničkih zapisa. Uspješan tunel i dalje bi nakon toga trebao vlastitu procjenu TLS-a i certifikata, ali nema lanca certifikata cilja za dijagnostiku dok se ta faza doista ne dosegne.