OpenSSL s_client: პროქსის 403 მიზნის TLS-ამდე ხდება
განიხილეთ OpenSSL პროქსის CONNECT-ზე მიღებული 403 გვირაბის ეტაპის წარუმატებლობად და ნუ დაადგენთ მიზნის სერტიფიკატს იმ handshake-იდან, რომელიც არასდროს დაწყებულა.
თუ openssl s_client პროქსის CONNECT მოთხოვნის საპასუხოდ HTTP 403-ს მიიღებს, დაიწყეთ სწორედ ამ უარით. მოთხოვნილი გვირაბი არ დამყარებულა.
-proxy პარამეტრით s_client ჯერ HTTP პროქსის სთხოვს დაკავშირებას იმ მიზანთან, რომელიც მითითებულია -connect პარამეტრით. მხოლოდ წარმატებული CONNECT პასუხი გადააქცევს ამ გაცვლას გვირაბად მიზნის TLS handshake-ისთვის.
ეს თანმიმდევრობა ხსნის სხვაგვარად დამაბნეველ გამოტანას: პროქსის შეცდომა, რომელსაც მოჰყვება TLS-თან დაკავშირებული სათაურები, პარტნიორის სერტიფიკატის არარსებობა ან თითქოს დამამშვიდებელი შემოწმების ხაზი. ეს ველები არ ამტკიცებს, რომ მიზნის სერტიფიკატი მიღებული და შემოწმებულია. ოპერაცია უფრო ადრეულ ეტაპზე შეწყდა.
ჩაწერეთ პროქსის პასუხი და მოთხოვნილი მიზნის ჰოსტი და პორტი. 403 ყურადღებას პროქსის წვდომის გადაწყვეტილებაზე ამახვილებს; 407 პროქსზე ავთენტიფიკაციას ითხოვს. არც ერთი მათგანი არ სწორდება მიზნის სერტიფიკატის შემოწმების გამორთვით.
როცა გაცვლის შესწავლა ნებადართულია, s_client-ის -debug გამოტანა დაგეხმარებათ უარის გამოვლენაში. პროქსის ნებისმიერი სერტიფიკატი გაზიარებული კვალის გარეთ შეინახეთ. წარმატებულ გვირაბს შემდეგ მაინც დასჭირდება საკუთარი TLS და სერტიფიკატების შეფასება, მაგრამ სამიზნე სერტიფიკატების ჯაჭვი დიაგნოსტიკისთვის არ არსებობს, სანამ ეს ეტაპი ფაქტობრივად არ მიიღწევა.