Spore proxyfeil i CRL- og OCSP-sertifikatkontroller
Spor CRL- eller OCSP-henting under verifisererens konto når programmet når proxyen sin, men sertifikatvalideringen ikke kan fullføres.
En nettstedforespørsel kan nå proxyen sin og likevel mislykkes fordi sertifikatverifisering trenger en ny nettverksforespørsel. En CRL- eller OCSP-henting kan gå gjennom en plattformkomponent med en annen konto og proxy-policy enn programmets HTTP-klient.
Start med den nøyaktige kjedefeilen. Revoked betyr noe annet enn kan ikke hente gjeldende tilbakekallingsinformasjon. Utløp og en ikke-klarert utsteder er igjen andre problemer. Bare hentefeilen krever sporing av en manglende rute til en status-URL.
For den feilen, identifiser tre ting sammen: URL-en som hentes, komponenten som utfører hentingen og prosessidentiteten dens. At en nettleser åpner URL-en under din interaktive konto, beviser ikke at en tjeneste kan autentisere seg mot samme proxy.
Hvis den identifiserte komponenten bruker WinHTTP, undersøk policyen som gjelder for den. Statisk proxykonfigurasjon og automatisk proxyvurdering per URL er separate mekanismer. Bruk den støttede konfigurasjonen for den tiltenkte kontoen; å kopiere nettleserinnstillinger eller endre en urelatert kjøretid kan la den faktiske hentingen være urørt.
I .NET styrer UrlRetrievalTimeout i kjedepolicyen en venting på nettsverifisering eller CRL-henting. Å forlenge den vanlige HTTP-responstimeouten forlenger ikke den samme timeren, og å forlenge hentetimeren gir ikke proxy-legitimasjon eller en rute.
En HTTPS-proxy kan gjøre denne avhengigheten synlig allerede før TLS mot målet: tillit til proxyforbindelsen kan selv kreve tilbakekallingshenting. Gjenopprett den støttede hentetilgangen og tillitsordningen på det stadiet. Å slå av tilbakekallingskontroll endrer sertifikatpolicyen; det gjenoppretter ikke den mislykkede hentingen.