Սերտիֆիկատի սխալներ պրոքսի օգտագործելիս
Նախքան սերտիֆիկատների կարգավորումները փոխելը պարզեք՝ ստուգումը ձախողվել է հենց պրոքսիի՞, թե՞ նպատակային կայքի TLS կապում։
Նախքան CA փաթեթը փոխելը պարզեք, թե որ TLS ձեռքսեղմումն է ձախողվել։ Պրոքսիի և կայքի սերտիֆիկատները կարող են ստուգվել տարբեր կապերում։
| Պրոքսի և նպատակակետ | TLS ստուգումներ |
|---|---|
| HTTP պրոքսի դեպի HTTPS նպատակակետ | CONNECT-ից հետո թունելի միջով ստուգեք նպատակակետի սերտիֆիկատը։ |
| HTTPS պրոքսի դեպի HTTPS նպատակակետ | Նախ ստուգեք TLS-ը դեպի պրոքսի, ապա թունելի բացվելուց հետո՝ նպատակակետի առանձին TLS նստաշրջանը։ |
Մանրամասն հետագծով գտեք պահանջված հոսթի անունն ու վերջին ավարտված ձեռքսեղմումը։ HTTPS պրոքսիի սերտիֆիկատի սխալը կարող է առաջանալ կայքի հետ կապվելուց առաջ։ Ստուգեք այդ կապի նախատեսված անունը, սերտիֆիկատի վավերականության ժամկետը, տեղական ժամացույցը, սպասվող շղթան և հաստատված վստահության պահոցը։ Հետազոտության մեջ ներառեք նաև միտումնավոր կարգավորված TLS միջամտությունը կամ ավելացված արմատային սերտիֆիկատը։
curl-ը երկու կապերի համար տալիս է CA-ի առանձին ընտրանքներ․
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert-ը սահմանում է վստահությունը պրոքսիի համար, իսկ --cacert-ը՝ նպատակակետի։ Օրինակի միացման կետն ու ֆայլերը փոխարինեք նախատեսված վստահության կառուցվածքի արժեքներով։ Առանձին փաթեթներ պետք չեն, եթե համակարգի վստահությունն արդեն բավարար է։
Հոսթի անունը կամայական IP-ով փոխարինելը փոխում է սերտիֆիկատի համապատասխանեցումը։ Ստուգումը բաց թողնելը կարող է թաքցնել խափանումը՝ չհաստատելով մյուս կողմի ինքնությունը։ Անծանոթ պրոքսիի խնդրանքը՝ տեղադրել իր արմատային CA-ն, բավարար պատճառ չէ նրան վստահելու համար։
Մերժված պորտային կապը կամ CONNECT-ը ավելի վաղ փուլի խնդիր է․ սերտիֆիկատները փոխելով այն չի լուծվի։ Հակառակը՝ նպատակակետի TLS-ի ստուգումից հետո կայքի HTTP սխալը վերաբերում է ստացված պատասխանին, ոչ թե CA-ի հերթական փոփոխությանը։