Un proxy HTTPS deve inviare anche la propria catena di certificati

Se i client rifiutano il proxy HTTPS prima di raggiungere un sito, esamina la catena inviata dal listener del proxy. Un certificato foglia valido da solo potrebbe non fornire i certificati intermedi necessari al client.

1. Identifica l'endpoint controllato. Leggi il nome host nell'URL del proxy configurato e l'errore di quella connessione. Il certificato del listener deve coprire quel nome. Un certificato di un sito web o un certificato per un altro alias IP non può sostituirlo.
2. Controlla la configurazione della catena del listener. La configurazione OpenSSL supportata da Squid può includere certificati intermedi nel file del certificato. Conferma la disposizione nel riferimento del listener per la versione di Squid installata e il backend TLS; il comportamento dei pacchetti non è uniforme. L'esempio di listener TLS di Squid 6.13 mantiene la fiducia del listener separata dal TLS di destinazione.
3. Controlla separatamente la fiducia del client. Inviare gli intermedi aiuta a costruire la catena, ma il client ha ancora bisogno dell'anchor di fiducia radice previsto. Importare l'intera catena del server in un archivio radici senza distinzione è una modifica diversa dal correggere ciò che il server invia.

Lascia attiva la verifica. Identifica il proxy HTTPS che il client intendeva usare. Una volta verificata quella connessione, un successivo errore di certificato del sito appartiene a la sessione TLS di destinazione tramite il proxy, con la propria indagine su nome host e fiducia.