CRL 및 OCSP 인증서 검사에서 프록시 실패 추적

웹 사이트 요청이 프록시에 도달하고도 실패할 수 있는데, 인증서 확인에 또 다른 네트워크 요청이 필요하기 때문입니다. CRL 또는 OCSP 가져오기는 애플리케이션의 HTTP 클라이언트와 다른 계정 및 프록시 정책을 가진 플랫폼 구성 요소를 통해 실행될 수 있습니다.

정확한 체인 오류부터 시작합니다. 해지됨은 현재 해지 정보를 가져올 수 없음과 다른 의미입니다. 만료와 신뢰할 수 없는 발급자는 또 다른 문제입니다. 가져오기 실패만이 상태 URL로 가는 누락된 경로를 추적해야 합니다.

해당 실패의 경우 세 가지를 함께 식별합니다. 가져오는 URL, 가져오기를 수행하는 구성 요소, 그리고 해당 프로세스의 ID입니다. 브라우저가 대화형 계정에서 URL을 여는 데 성공한다고 해서 서비스가 동일한 프록시에 인증할 수 있다는 증거는 아닙니다.

식별된 구성 요소가 WinHTTP를 사용하는 경우 해당 구성 요소에 적용되는 정책을 검토합니다. 정적 프록시 구성과 URL별 자동 프록시 평가는 별개의 메커니즘입니다. 의도한 계정에 지원되는 구성을 적용합니다. 브라우저 설정을 복사하거나 관련 없는 런타임을 변경하면 실제 가져오기는 그대로 남을 수 있습니다.

.NET에서 체인 정책의 UrlRetrievalTimeout는 온라인 확인 또는 CRL 가져오기를 위한 대기를 제어합니다. 일반 HTTP 응답 시간 제한을 연장해도 동일한 타이머가 연장되지 않으며, 가져오기 타이머를 연장해도 프록시 자격 증명이나 경로가 제공되지 않습니다.

HTTPS 프록시는 대상 TLS 이전에도 이 종속성을 드러낼 수 있습니다. 프록시 연결에 대한 신뢰 자체가 해지 정보 가져오기를 요구할 수 있습니다. 해당 단계에서 지원되는 가져오기 액세스와 신뢰 구성을 복원합니다. 해지 확인을 비활성화하면 인증서 정책이 바뀔 뿐 실패한 가져오기는 복원되지 않습니다.