En HTTPS-proxy må også sende sertifikatkjeden sin
Diagnostiser manglende mellomliggende sertifikater på TLS-lytteren fra klienten til Squid, atskilt fra sertifikatet til nettstedet du skal besøke.
Hvis klienter avviser HTTPS-proxyen før de når et nettsted, undersøk kjeden proxylytteren sender. Ett gyldig bladsertifikat alene gir kanskje ikke de mellomliggende sertifikatene klienten trenger.
- Identifiser endepunktet som kontrolleres. Les vertsnavnet i den konfigurerte proxy-URL-en og feilen for den tilkoblingen. Lytterens sertifikat må dekke det navnet. Et nettstedssertifikat eller sertifikat for et annet IP-alias kan ikke erstatte det.
- Kontroller lytterens kjedekonfigurasjon. Squids støttede OpenSSL-konfigurasjon kan inkludere mellomliggende sertifikater i sertifikatfilen. Bekreft oppsettet i lytterreferansen for den installerte Squid-versjonen og TLS-backenden; pakkeatferd er ikke ensartet. TLS-lyttereksempelet i Squid 6.13 holder lyttertilliten atskilt fra destinasjonens TLS.
- Kontroller klienttilliten separat. Å sende mellomliggende sertifikater hjelper med å bygge kjeden, men klienten trenger fortsatt det tiltenkte rottillitsankeret. Å importere hele serverkjeden til et rotlager uten forskjell er en annen endring enn å rette det serveren sender.
La verifiseringen stå på. Den identifiserer HTTPS-proxyen klienten hadde til hensikt å bruke. Når den tilkoblingen er verifisert, hører en senere nettstedssertifikatfeil til destinasjonens TLS-økt gjennom proxyen, med sin egen vertsnavn- og tillitsundersøkelse.