Прокси қолданғандағы сертификат қателері
Сертификат баптауларын өзгертпес бұрын тексеру проксидің өз TLS қосылымында ма, әлде мақсатты сайтта ма сәтсіз болғанын анықтаңыз.
CA бумасын өзгертпес бұрын қай TLS қол алысуы сәтсіз болғанын табыңыз. Прокси сертификаты мен сайт сертификаты әртүрлі қосылымдарда тексерілуі мүмкін.
| Прокси және мақсат | TLS тексерулері |
|---|---|
| HTTPS мақсатқа баратын HTTP прокси | CONNECT-тен кейін туннель арқылы мақсат сертификатын тексеріңіз. |
| HTTPS мақсатқа баратын HTTPS прокси | Алдымен проксиге TLS қосылымын тексеріңіз; туннель ашылған соң мақсатқа арналған бөлек TLS сеансын тексеріңіз. |
Сұралған хост атауын және соңғы аяқталған қол алысуды егжей-тегжейлі трассадан анықтаңыз. HTTPS прокси сертификатының қатесі сайтқа хабарласпай тұрып пайда болуы мүмкін. Сол қосылымға арналған атауды, сертификаттың жарамдылық мерзімін, жергілікті сағатты, күтілген тізбекті және мақұлданған сенім қоймасын тексеріңіз. Әдейі бапталған TLS ұстап қалуын немесе қосылған түбірлік сертификатты да зерттеуге қосыңыз.
curl екі қосылымға бөлек CA параметрлерін береді:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert проксиге, --cacert мақсатқа сенім негізін береді. Мысалдағы қосылу нүктесі мен файлдарды көзделген сенім құрылымының мәндерімен ауыстырыңыз. Жүйелік сенім жеткілікті болса, жеке бумалар қажет емес.
Хост атауын кез келген IP-мен ауыстыру сертификаттың сәйкестігін өзгертеді. Тексеруді өткізіп жіберу екінші тараптың кім екенін анықтамай, қатені жасыруы мүмкін. Бейтаныс проксидің өз түбірлік CA-сын орнатуды сұрауы оған сенуге жеткілікті себеп емес.
Қабылданбаған порт қосылымы немесе CONNECT ертерек кезеңге жатады; сертификат өзгерту оны түзетпейді. Керісінше, мақсаттың TLS тексеруі өткеннен кейінгі сайттың HTTP қатесі алынған жауапқа қатысты, тағы бір CA түзетуіне емес.