Tanúsítványhibák proxy használatakor
A tanúsítványbeállítások módosítása előtt derítsd ki, hogy a proxy saját TLS-kapcsolatának vagy a célwebhelynek az ellenőrzése bukott el.
CA-csomag módosítása előtt keresd meg, melyik TLS-kézfogás hibásodott meg. A proxy és a webhely tanúsítványának ellenőrzése különböző kapcsolatokon történhet.
| Proxy és cél | TLS-ellenőrzések |
|---|---|
| HTTP-proxy HTTPS-célhoz | CONNECT után az alagúton keresztül ellenőrizd a cél tanúsítványát. |
| HTTPS-proxy HTTPS-célhoz | Először a proxyhoz menő TLS-t ellenőrizd; az alagút megnyitása után a cél külön TLS-munkamenetét. |
A részletes nyomkövetésben keresd meg a kért állomásnevet és az utolsó befejezett kézfogást. A HTTPS-proxy tanúsítványhibája már a webhely elérése előtt jelentkezhet. Ellenőrizd a kapcsolathoz szánt nevet, a tanúsítvány érvényességi idejét, a helyi órát, a várt láncot és a jóváhagyott bizalmi tárolót. A szándékosan beállított TLS-közbeékelődést vagy hozzáadott gyökértanúsítványt is vedd számításba.
A curl külön CA-kapcsolókat ad a két kapcsolathoz:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/A --proxy-cacert a proxyhoz, a --cacert a célhoz adja meg a bizalmi alapot. Cseréld le a példa végpontját és fájljait a kívánt bizalmi beállítás értékeire. Egyéni csomagokra nincs szükség, ha a rendszer bizalmi beállításai már elegendők.
Ha az állomásnevet tetszőleges IP-re cseréled, megváltozik a tanúsítvány egyeztetése. Az ellenőrzés kihagyása elfedheti a hibát anélkül, hogy igazolná a másik fél kilétét. Ismeretlen proxynál a saját gyökér-CA telepítésére felszólító kérés nem elegendő ok a bizalomra.
Az elutasított portkapcsolat vagy CONNECT korábbi lépéshez tartozik; a tanúsítványok cseréje nem javítja meg. Fordítva, a cél TLS-ellenőrzése után kapott webhelyi HTTP-hiba a beérkezett válaszhoz tartozik, nem újabb CA-igazításhoz.