Errori di certificato quando usi un proxy
Prima di cambiare i certificati, individua se la verifica è fallita sulla connessione TLS al proxy stesso o al sito di destinazione.
Prima di cambiare un bundle di CA, individua quale handshake TLS è fallito. Il certificato del proxy e quello del sito possono essere verificati su connessioni diverse.
| Proxy e destinazione | Verifiche TLS |
|---|---|
| Proxy HTTP verso una destinazione HTTPS | Dopo CONNECT, verifica il certificato della destinazione attraverso il tunnel. |
| Proxy HTTPS verso una destinazione HTTPS | Verifica prima TLS verso il proxy; una volta aperto il tunnel, verifica la sessione TLS separata verso la destinazione. |
Usa la traccia dettagliata per identificare il nome host richiesto e l’ultimo handshake completato. Un errore di certificato del proxy HTTPS può verificarsi prima di contattare il sito. Controlla il nome previsto per quella connessione, il periodo di validità del certificato, l’orologio locale, la catena attesa e l’archivio di fiducia approvato. Includi nell’indagine eventuali intercettazioni TLS configurate deliberatamente o certificati radice aggiunti.
curl offre opzioni CA separate per le due connessioni:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert fornisce la base di fiducia per il proxy; --cacert per la destinazione. Sostituisci l’endpoint e i file dell’esempio con i valori della configurazione di fiducia desiderata. I bundle personalizzati sono inutili quando la fiducia di sistema è già sufficiente.
Sostituire un nome host con un IP arbitrario cambia la corrispondenza del certificato. Saltare la verifica può nascondere l’errore senza accertare l’identità dell’altra estremità. Per un proxy sconosciuto, la richiesta di installare la sua CA radice non è un motivo sufficiente per fidarsi.
Una connessione rifiutata sulla porta o un CONNECT respinto appartengono a una fase precedente; cambiare i certificati non può risolverli. Viceversa, dopo la verifica TLS della destinazione, un errore HTTP del sito riguarda la risposta ricevuta, non un ulteriore aggiustamento delle CA.