OpenSSL s_client: 403 dari proxy terjadi sebelum TLS tujuan
Tafsirkan 403 pada CONNECT melalui proxy OpenSSL sebagai kegagalan tahap terowongan dan jangan mendiagnosis sertifikat tujuan dari handshake yang tidak pernah dimulai.
Jika openssl s_client menerima HTTP 403 sebagai jawaban atas permintaan CONNECT melalui proxy, mulailah dari penolakan itu. Terowongan yang diminta belum terbentuk.
Dengan -proxy, s_client lebih dulu meminta proxy HTTP untuk terhubung ke tujuan yang ditentukan oleh -connect. Hanya respons CONNECT yang berhasil mengubah pertukaran itu menjadi terowongan untuk handshake TLS tujuan.
Urutan inilah yang menjelaskan keluaran yang sebaliknya membingungkan: galat proxy yang diikuti judul terkait TLS, tidak ada sertifikat peer, atau baris verifikasi yang tampak melegakan. Kolom tersebut tidak membuktikan bahwa sertifikat tujuan telah diterima dan diverifikasi. Operasi berhenti pada tahap yang lebih awal.
Catat respons proxy serta hos dan porta tujuan yang diminta. 403 mengarahkan perhatian ke keputusan akses proxy; 407 meminta autentikasi proxy. Keduanya tidak diperbaiki dengan menonaktifkan verifikasi sertifikat tujuan.
Bila diizinkan memeriksa pertukaran, keluaran -debug s_client dapat membantu menyingkap penolakan itu. Jauhkan kredensial proxy dari jejak yang dibagikan. Terowongan yang berhasil tetap memerlukan penilaian TLS dan sertifikatnya sendiri sesudahnya, tetapi tidak ada rantai sertifikat tujuan untuk didiagnosis sampai tahap itu benar-benar tercapai.