OpenSSL s_client: a proxy 403 a cél TLS-e előtt történik
Értelmezze az OpenSSL-proxyn átmenő CONNECT 403-at a tunel fázisának hibájaként, és ne diagnosztizálja a cél tanúsítványát egy olyan kézfogásból, amely soha nem indult el.
Ha a openssl s_client HTTP 403-at kap a proxy CONNECT kérésére, ezzel az elutasítással kezdje. A kért tunel nem jött létre.
A -proxy kapcsolóval az s_client először arra kéri a HTTP-proxyt, hogy csatlakozzon a -connect által megadott célhoz. Csak a sikeres CONNECT-válasz alakítja ezt a cserét a cél TLS-kézfogásához tartozó tunnellé.
Ez a sorrend magyarázza az egyébként zavaró kimenetet: proxyhiba, amelyet TLS-hez kapcsolódó fejlécek, hiányzó partner-tanúsítvány vagy látszólag megnyugtató ellenőrzési sor követ. Ezek a mezők nem bizonyítják, hogy a cél tanúsítványa megérkezett és ellenőrzésre került. A művelet egy korábbi szakaszban leállt.
Jegyezze fel a proxy válaszát, valamint a kért cél hosztját és portját. A 403 a proxy hozzáférési döntésére irányítja a figyelmet; a 407 proxyhitelesítést kér. Egyik sem javul attól, hogy kikapcsolja a cél tanúsítványának ellenőrzését.
Amikor engedélyezett a csere vizsgálata, az s_client -debug kimenete segíthet feltárni az elutasítást. Tartsa a proxy hitelesítő adatait a megosztott nyomokon kívül. Egy sikeres tunnelnek ezután is szüksége lenne saját TLS- és tanúsítványértékelésre, de nincs cél-tanúsítványlánc, amit diagnosztizálni lehetne, amíg ezt a szakaszt ténylegesen el nem értük.