OpenSSL s_client: de Proxy-403 geschitt virum TLS vum Zil
Interpretéiert en 403 op CONNECT duerch en OpenSSL-Proxy als Feeler an der Tunnellphas an diagnostizéiert kee Zertifikat vum Zil aus engem Handshake, deen ni ugefaangen huet.
Wann openssl s_client als Äntwert op seng CONNECT-Ufro iwwer de Proxy HTTP 403 kritt, fänkt mat där Oflehnung un. Den ugefrote Tunnell gouf net opgebaut.
Mat -proxy freet s_client fir d'éischt den HTTP-Proxy, sech mat dem Zil ze verbannen, dat duerch -connect uginn ass. Nëmmen eng erfollegräich CONNECT-Äntwert verwandelt dësen Austausch an en Tunnell fir den TLS-Handshake vum Zil.
Dës Reiefolleg erkläert eng soss verwirrend Ausgab: e Proxyfeeler, gefolgt vun TLS-bezunnen Iwwerschrëften, keen Zertifikat vum Géigepartner oder eng schéngbar berouegend Verifikatiounszeil. Dës Felder beleeën net, datt d'Zertifikat vum Zil kritt a gepréift gouf. D'Operatioun huet an engem fréiere Stadium opgehalen.
Notéiert d'Äntwert vum Proxy souwéi den ugefroten Zilhost an -port. En 403 riicht d'Opmierksamkeet op d'Zougriffsentscheedung vum Proxy; en 407 freet eng Authentifikatioun um Proxy. Keent vun deenen zwee gëtt duerch d'Ausschalte vun der Préifung vum Zilzertifikat behuewen.
Wann et erlaabt ass, den Austausch anzekucken, kann d'-debug-Ausgab vum s_client hëllefen, d'Oflehnung opzedecken. Halt all Proxy-Accèsdaten aus gedeelte Spueren eraus. En erfollegräichen Tunnell géif duerno ëmmer nach seng eege Bewäertung vun TLS an Zertifikater brauchen, awer et gëtt keng Zilzertifikatskette ze diagnostizéieren, bis dës Phas tatsächlech erreecht ass.