OpenSSL s_client: starpniekservera 403 notiek pirms galamērķa TLS
Uztveriet OpenSSL starpniekservera CONNECT 403 kā tuneļa posma kļūmi un nediagnozējiet galamērķa sertifikātu pēc rokas saspiešanas, kas nekad nesākās.
Ja openssl s_client saņem HTTP 403 atbildi uz savu CONNECT pieprasījumu caur starpniekserveri, sāciet ar šo atteikumu. Pieprasītais tunelis nav izveidots.
Ar -proxy s_client vispirms lūdz HTTP starpniekserverim izveidot savienojumu ar galamērķi, kas norādīts ar -connect. Tikai veiksmīga CONNECT atbilde pārvērš šo apmaiņu par tuneli galamērķa TLS rokas saspiešanai.
Šī secība izskaidro citādi mulsinošu izvadi: starpniekservera kļūda, kam seko ar TLS saistīti virsraksti, nav partnera sertifikāta vai šķietami nomierinoša pārbaudes rinda. Šie lauki nepierāda, ka galamērķa sertifikāts ir saņemts un pārbaudīts. Darbība apstājās agrākā posmā.
Pierakstiet starpniekservera atbildi un pieprasīto galamērķa resursdatoru un portu. 403 vērš uzmanību uz starpniekservera piekļuves lēmumu; 407 pieprasa autentifikāciju starpniekserverī. Neviens no tiem netiek novērsts, izslēdzot galamērķa sertifikāta pārbaudi.
Kad atļauts pārbaudīt apmaiņu, s_client -debug izvade var palīdzēt atklāt atteikumu. Turiet jebkurus starpniekservera akreditācijas datus ārpus koplietotiem ierakstiem. Veiksmīgam tunelim pēc tam joprojām būs vajadzīgs savs TLS un sertifikātu novērtējums, bet nav mērķa sertifikātu ķēdes, ko diagnosticēt, kamēr šis posms nav faktiski sasniegts.