Netinkamo proxy veikimo CRL ir OCSP sertifikatų patikrose sekimas

Svetainės užklausa gali pasiekti savo proxy ir vis tiek nepavykti, nes sertifikato patikrai reikia dar vienos tinklo užklausos. CRL arba OCSP duomenų gavimas gali vykti per platformos komponentą, turintį kitą paskyrą ir proxy taisykles nei programos HTTP klientas.

Pradėkite nuo tikslios grandinės klaidos. Revoked reiškia ką kita nei neįmanoma gauti dabartinės atšaukimo informacijos. Galiojimo pabaiga ir nepatikimas išdavėjas vėlgi yra kitos problemos. Tik duomenų gavimo klaida reikalauja sekti trūkstamą maršrutą į būsenos URL.

Dėl šios klaidos nustatykite tris dalykus kartu: gaunamą URL, gavimą atliekantį komponentą ir jo proceso tapatybę. Tai, kad naršyklė jūsų interaktyvioje paskyroje sėkmingai atidaro URL, neįrodo, kad paslauga gali autentifikuotis tame pačiame proxy.

Jei nustatytas komponentas naudoja WinHTTP, išnagrinėkite jam taikomą taisyklę. Statinė proxy konfigūracija ir automatinis proxy vertinimas pagal URL yra atskiri mechanizmai. Taikykite palaikomą konfigūraciją numatytai paskyrai; naršyklės nustatymų kopijavimas ar nesusijusios vykdymo aplinkos keitimas gali palikti faktinį gavimą nepakeistą.

.NET aplinkoje UrlRetrievalTimeout grandinės taisyklėje valdo laukimą, kol bus atlikta internetinė patikra arba gauti CRL duomenys. Įprasto HTTP atsakymo laiko limito pratęsimas nepratęsia to paties laikmačio, o gavimo laikmačio pratęsimas nesuteikia proxy kredencialų ar maršruto.

HTTPS proxy gali padaryti šią priklausomybę matomą dar prieš paskirties TLS: pasitikėjimas proxy ryšiu pats gali reikalauti atšaukimo duomenų gavimo. Šiame etape atkurkite palaikomą gavimo prieigą ir pasitikėjimo tvarką. Atšaukimo tikrinimo išjungimas pakeičia sertifikato taisyklę; jis neatkuria nepavykusio gavimo.