Грешки со сертификати при користење прокси
Пред да ги промените сертификатите, утврдете дали не успеала проверката на TLS врската со самото прокси или со целната веб-страница.
Пред да промените CA пакет, утврдете кое TLS ракување не успеало. Сертификатот на проксито и сертификатот на веб-страницата може да се проверуваат на различни врски.
| Прокси и цел | TLS проверки |
|---|---|
| HTTP прокси до HTTPS цел | По CONNECT проверете го сертификатот на целта преку тунелот. |
| HTTPS прокси до HTTPS цел | Прво проверете TLS до проксито; по отворањето на тунелот проверете ја одделната TLS сесија до целта. |
Користете го деталниот запис за да ги утврдите побараното име на хост и последното завршено ракување. Грешка со сертификатот на HTTPS проксито може да се појави пред контакт со веб-страницата. Проверете го предвиденото име на таа врска, периодот на важност на сертификатот, локалниот часовник, очекуваниот синџир и одобреното складиште за доверба. Вклучете и намерно поставено TLS пресретнување или додаден коренски сертификат.
curl нуди одделни CA опции за двете врски:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert ја задава довербата за проксито; --cacert за целта. Заменете ги примерната крајна точка и датотеките со вредности од предвидената поставеност за доверба. Приспособени пакети не се потребни ако системската доверба веќе е доволна.
Замената на име на хост со произволна IP адреса го менува совпаѓањето на сертификатот. Прескокнувањето на проверката може да ја скрие грешката без утврдување на идентитетот на другата страна. За непознато прокси барањето да го инсталирате неговиот коренски CA не е доволна причина да му верувате.
Одбиена врска на порта или одбиен CONNECT припаѓаат на претходна фаза; промената на сертификатите не ги поправа. Обратно, по проверката на TLS на целта, HTTP грешка од веб-страницата се однесува на примениот одговор, а не на ново CA приспособување.