Bahagian mana proxy pemeriksaan yang menolak sijil?

Klien mempercayai proksi pemeriksaan yang diluluskan. Permintaan masih gagal kerana ralat sijil. Kedua-dua fakta boleh benar: proksi itu mempunyai satu lagi hubungan TLS untuk disahkan.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Dalam susunan pemintasan, perantara menamatkan TLS klien dan mencipta sambungannya sendiri ke hadapan. Klien boleh menerima sijil yang dikemukakan di sisinya sementara proksi menolak sijil yang diterimanya daripada laman web.

Baca ralat pengesah

Tentukan proses mana yang melaporkan rantaian atau nama hos yang gagal. Halaman ralat yang dijana proksi boleh sampai kepada klien dengan jayanya melalui sambungan yang sah. Menukar fail CA klien sekali lagi tidak mengemas kini konfigurasi kepercayaan huluan proksi.

Contohnya, Mitmproxy mendokumenkan pilihan kepercayaan huluan yang berasingan, termasuk ssl_verify_upstream_trusted_ca. Pentadbir yang berkenaan boleh mengkonfigurasi kepercayaan yang diluluskan untuk perkhidmatan huluan sambil mengekalkan pengesahan. Produk proksi lain memerlukan antara muka yang sepadan.

Periksa juga nama destinasi sebenar dan rantaiannya. Perkhidmatan peribadi yang tiada perantaraan, sijil yang telah tamat tempoh dan pengeluar peribadi yang tidak dikenali memerlukan pembaikan berbeza. Pengecualian yang dimaksudkan untuk satu perkhidmatan peribadi tidak sepatutnya senyap-senyap menjadi penerimaan global setiap sijil.

Terowong CONNECT biasa berbeza

Terowong penghantaran legap tidak memisahkan TLS destinasi dengan cara ini. Aplikasi biasanya berunding dan mengesahkan sesi TLS hujung ke hujung itu sendiri. Mula-mula tentukan sama ada pemintasan benar-benar sebahagian daripada laluan, dan bukannya menggunakan tetapan proksi pemeriksaan pada mana-mana perantara.

Rekodkan kedua-dua hasil pengesahan secara berasingan. “Sijil proksi itu dipercayai” menjawab soalan di pihak klien; ia tidak memperakui apa yang dilihat proksi apabila ia bersambung ke huluan.