OpenSSL s_client: proxy-403 kommer før målets TLS
Tolk et 403 på CONNECT gjennom en OpenSSL-proxy som en svikt i tunnelstadiet, og ikke diagnostiser et målsertifikat ut fra et håndtrykk som aldri startet.
Hvis openssl s_client får HTTP 403 som svar på CONNECT-forespørselen gjennom proxyen, start med den avvisningen. Den forespurte tunnelen er ikke etablert.
Med -proxy ber s_client først HTTP-proxyen om å koble til målet som er angitt med -connect. Bare et vellykket CONNECT-svar gjør denne utvekslingen om til en tunnel for målets TLS-håndtrykk.
Denne rekkefølgen forklarer en ellers forvirrende utskrift: en proxyfeil etterfulgt av TLS-relaterte overskrifter, ingen motpartsertifikat eller en tilsynelatende beroligende verifiseringslinje. Disse feltene beviser ikke at målets sertifikat er mottatt og verifisert. Operasjonen stoppet på et tidligere stadium.
Noter proxyens svar samt det forespurte målets vert og port. Et 403 retter oppmerksomheten mot proxyens tilgangsbeslutning; et 407 ber om proxyautentisering. Ingen av dem løses ved å slå av verifiseringen av målets sertifikat.
Når det er tillatt å undersøke utvekslingen, kan -debug-utskriften fra s_client bidra til å avdekke avvisningen. Hold eventuelle proxy-legitimasjoner utenfor delte spor. En vellykket tunnel ville fortsatt trenge sin egen TLS- og sertifikatvurdering etterpå, men det finnes ingen målrettet sertifikatkjede å diagnostisere før det stadiet faktisk er nådd.