HTTPSプロキシも証明書チェーンを送信する必要がある

クライアントがウェブサイトに到達する前にHTTPSプロキシを拒否する場合は、プロキシのリスナーが送信するチェーンを調べます。有効なリーフ証明書だけでは、クライアントが必要とする中間証明書を提供できないことがあります。

1. 確認対象のエンドポイントを特定します。 設定されたプロキシURLのホスト名と、その接続のエラーを読み取ります。リスナーの証明書はその名前をカバーしている必要があります。ウェブサイトの証明書や別のIPエイリアスの証明書では代用できません。
2. リスナーのチェーン設定を確認します。 SquidがサポートするOpenSSL設定では、証明書ファイルに中間証明書を含められます。インストールされているSquidのリリースとTLSバックエンドについて、リスナーのリファレンスで構成を確認してください。パッケージの挙動は一様ではありません。Squid 6.13のTLSリスナー例では、リスナーの信頼が宛先のTLSから分離されています。
3. クライアントの信頼を別途確認します。 中間証明書を送信するとチェーンの構築に役立ちますが、クライアントには意図したルート信頼アンカーが依然として必要です。サーバーチェーン全体を無差別にルートストアへインポートすることは、サーバーが送信する内容を修正することとは別の変更です。

検証は有効にしたままにします。これにより、クライアントが使用を意図したHTTPSプロキシが特定されます。その接続が検証された後にウェブサイトの証明書エラーが起きた場合は、プロキシ経由の宛先TLSセッションの問題であり、独自のホスト名と信頼の調査が必要です。