Kuri inspekcijos proxy pusė atmetė sertifikatą?

Klientas pasitiki patvirtintu inspekcijos proxy. Užklausa vis tiek nepavyksta dėl sertifikato klaidos. Abu faktai gali būti teisingi: tas proxy turi dar vieną TLS ryšį, kurį reikia patikrinti.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Perėmimo schemoje tarpininkas užbaigia kliento TLS ir sukuria savo ryšį toliau. Klientas gali priimti jo pusėje pateiktą sertifikatą, o proxy atmeta sertifikatą, kurį gauna iš svetainės.

Perskaitykite tikrintojo klaidą

Nustatykite, kuris procesas pranešė apie nepavykusią grandinę arba pagrindinio kompiuterio vardą. Proxy sukurta klaidos puslapis gali sėkmingai pasiekti klientą per galiojantį ryšį. Pakartotinis kliento CA failo keitimas neatnaujina proxy aukštupio pasitikėjimo konfigūracijos.

Pavyzdžiui, Mitmproxy dokumentuoja atskirus aukštupio pasitikėjimo nustatymus, įskaitant ssl_verify_upstream_trusted_ca. Atitinkamas administratorius gali nustatyti patvirtintą pasitikėjimą aukštupio paslaugai, išlaikydamas tikrinimą. Kitam proxy produktui reikia savo atitinkamos sąsajos.

Patikrinkite ir tikrąjį paskirties vardą bei grandinę. Privati paslauga be tarpinio sertifikato, pasibaigęs sertifikatas ir nežinomas privatus leidėjas reikalauja skirtingų taisymų. Numatyta išimtis vienai privačiai paslaugai neturi tyliai tapti visuotiniu visų sertifikatų priėmimu.

Paprastas CONNECT tunelis yra kitoks

Nepermatomas persiuntimo tunelis taip neatskiria paskirties TLS. Programa paprastai pati derasi ir tikrina tą ištisinę TLS sesiją. Pirmiausia nustatykite, ar perėmimas iš tikrųjų yra maršruto dalis, o ne taikykite inspekcijos proxy nustatymus bet kuriam tarpininkui.

Užregistruokite du tikrinimo rezultatus atskirai. „Proxy sertifikatu pasitikima“ atsako į kliento pusės klausimą; tai neliudija, ką proxy matė jungdamasis aukštupiu.