HTTPS tarpinis serveris taip pat turi siųsti savo sertifikatų grandinę

Diagnozuokite trūkstamus tarpinius sertifikatus TLS klausytojuje nuo kliento iki Squid atskirai nuo paskirties svetainės sertifikato.

Jei klientai atmeta HTTPS tarpinį serverį prieš pasiekdami svetainę, patikrinkite grandinę, kurią siunčia tarpinio serverio klausytojas. Vien galiojančio lapo sertifikato gali nepakakti tarpiniams sertifikatams, kurių klientui reikia, pateikti.

  1. Nustatykite tikrinamą galinį tašką. Perskaitykite pagrindinio kompiuterio vardą sukonfigūruotame tarpinio serverio URL ir tos jungties klaidą. Klausytojo sertifikatas turi apimti tą vardą. Svetainės sertifikatas arba kito IP slapyvardžio sertifikatas jo pakeisti negali.
  2. Patikrinkite klausytojo grandinės konfigūraciją. Squid palaikoma OpenSSL konfigūracija gali įtraukti tarpinius sertifikatus į sertifikato failą. Patvirtinkite išdėstymą klausytojo nuorodoje, skirtoje įdiegtai Squid versijai ir TLS backend; paketų elgsena nevienoda. Squid 6.13 TLS klausytojo pavyzdys palaiko klausytojo pasitikėjimą atskirai nuo paskirties TLS.
  3. Atskirai patikrinkite kliento pasitikėjimą. Tarpinių sertifikatų siuntimas padeda sukurti grandinę, tačiau klientui vis dar reikia numatyto šakninio pasitikėjimo inkaro. Visos serverio grandinės importavimas į šaknų saugyklą be atrankos yra kitoks pakeitimas nei tai, ką siunčia serveris, taisymas.

Palikite tikrinimą įjungtą. Jis nustato HTTPS tarpinį serverį, kurį klientas ketino naudoti. Kai ta jungtis patikrinta, vėlesnė svetainės sertifikato klaida priklauso paskirties TLS sesijai per tarpinį serverį, turinčiai savo pagrindinio kompiuterio vardo ir pasitikėjimo tyrimą.

Susiję straipsniai