Kesalahan sertifikat saat memakai proxy
Sebelum mengubah pengaturan sertifikat, tentukan apakah verifikasi gagal pada koneksi TLS ke proxy itu sendiri atau ke situs tujuan.
Cari tahu handshake TLS mana yang gagal sebelum mengubah bundel CA. Sertifikat proxy dan sertifikat situs bisa diperiksa pada koneksi yang berbeda.
| Proxy dan tujuan | Pemeriksaan TLS |
|---|---|
| Proxy HTTP menuju tujuan HTTPS | Setelah CONNECT, verifikasi sertifikat tujuan melalui terowongan. |
| Proxy HTTPS menuju tujuan HTTPS | Verifikasi TLS ke proxy terlebih dahulu; setelah terowongan terbuka, verifikasi sesi TLS terpisah ke tujuan. |
Gunakan jejak terperinci untuk mengenali nama host yang diminta dan handshake terakhir yang selesai. Kegagalan sertifikat proxy HTTPS bisa terjadi sebelum situs dihubungi. Periksa nama yang dimaksud untuk koneksi itu, masa berlaku sertifikat, jam lokal, rantai yang diharapkan, dan penyimpanan kepercayaan yang disetujui. Sertakan intersepsi TLS yang sengaja dikonfigurasi atau sertifikat akar yang ditambahkan dalam penyelidikan.
curl menyediakan opsi CA terpisah untuk kedua koneksi:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert menyediakan dasar kepercayaan untuk proxy; --cacert untuk tujuan. Ganti endpoint dan berkas contoh dengan nilai dari pengaturan kepercayaan yang Anda inginkan. Bundel khusus tidak diperlukan jika kepercayaan sistem sudah memadai.
Mengganti nama host dengan IP sembarang mengubah pencocokan sertifikat. Melewati verifikasi dapat menyembunyikan kegagalan tanpa memastikan identitas pihak di ujung lain. Untuk proxy yang tidak dikenal, permintaan memasang CA akarnya bukan alasan yang cukup untuk mempercayainya.
Koneksi port yang ditolak atau CONNECT yang ditolak berada pada tahap sebelumnya; mengubah sertifikat tidak akan memperbaikinya. Sebaliknya, setelah TLS tujuan terverifikasi, kesalahan HTTP situs berkaitan dengan respons yang diterima, bukan penyesuaian CA lagi.