OpenSSL s_client: 403 од прокси доаѓа пред TLS на дестинацијата
Толкувајте го 403 на CONNECT преку прокси на OpenSSL како дефект во фазата на тунел и не дијагностицирајте сертификат на дестинацијата од ракување што воопшто не започнало.
Ако openssl s_client добие HTTP 403 како одговор на своето барање CONNECT преку прокси, започнете од тоа одбивање. Бараниот тунел не е воспоставен.
Со -proxy s_client најпрво бара од HTTP проксито да се поврзе со дестинацијата наведена со -connect. Само успешен одговор CONNECT ја претвора оваа размена во тунел за TLS-ракувањето со дестинацијата.
Овој редослед објаснува инаку збунувачки излез: грешка од проксито по која следат наслови поврзани со TLS, нема сертификат од партнерот или навидум смирувачка линија за проверка. Тие полиња не докажуваат дека сертификатот на дестинацијата е примен и проверен. Операцијата запре во поранешна фаза.
Забележете го одговорот на проксито и бараните хост и порта на дестинацијата. 403 го насочува вниманието кон одлуката за пристап на проксито; 407 бара автентикација на проксито. Ниту едното не се поправа со исклучување на проверката на сертификатот на дестинацијата.
Кога е дозволено да се прегледа размената, излезот -debug на s_client може да помогне да се открие одбивањето. Држете ги сите акредитиви за проксито надвор од споделени траги. Успешен тунел сепак подоцна би барал сопствена проценка на TLS и сертификати, но нема синџир на сертификати на целта за дијагностика додека таа фаза навистина не се достигне.