WRONG_VERSION_NUMBER со прокси: проверете HTTP наспроти HTTPS
Дијагностицирајте несовпаѓање во транспортот низ прокси пред да ги намалите TLS верзиите или да ги смените поставките за сертификатот поради заблудувачка SSL грешка.
Грешката вели “погрешна верзија”, па е примамливо да почнете да ги менувате TLS верзиите. Со прокси, проверете една поранешна можност: дали клиентот испратил TLS ракување до порта што чекала обичен HTTP?
Дестинација како https://example.com/ и прокси како http://proxy.example:8080 се вообичаен пар. Менувањето на вториот URL во HTTPS му вели на клиентот да го шифрира разговорот со самото прокси. Тоа не е упатство да се дозволат HTTPS страници.
Пронајдете го првиот TLS разговор
Кај HTTP прокси, клиентот најпрво може да испрати CONNECT и да добие HTTP одговор. Дури потоа го започнува TLS-от на дестинацијата внатре во тунелот. Кај HTTPS прокси, прво доаѓа посебна TLS врска до проксито.
TLS парсер што прима HTTP страница за грешка или друг обичен текст може да пријави грешка во протоколот. Формулацијата не утврдува кои TLS верзии ги поддржува страницата, ниту пак дека страницата е контактирана.
- Запишете го URL-то на проксито, вклучително неговата шема, и документираниот протокол на крајната точка.
- Откријте дали грешката се случила пред одговор на CONNECT, за време на TLS-от на дестинацијата или при проверка на сопствениот сертификат на проксито.
- Проверете ги вистинските верзии на клиентот и зависностите кога споредувате старо заобиколно решение. Поранешните имплементации на прокси понекогаш поинаку третираа шема.
Неколку поправки можат да бидат погрешни од различни причини. Списокот на HTTP прокси нуди обични кандидати за HTTP крајна точка за јавни барања дозволени низ таков пат. Обичната HTTP крајна точка бара шема на HTTP прокси; навистина TLS-овозможена крајна точка треба да ги задржи HTTPS и проверката на сертификатот. Прокси што го одбива CONNECT бара поддржана услуга или политика, а не произволно намалување на библиотеката.
Задржете го првиот забележлив неуспех. Исклучувањето на проверката на сертификатот не може да го натера слушателот што зборува само HTTP да зборува TLS, а изборот на стара шифра политика не може да објасни HTTP одбивање испратено пред ракувањето на страницата.