Ein HTTPS-proxy må òg senda sertifikatkjeda si
Diagnostiser manglande mellomliggjande sertifikat på TLS-lyttaren frå klienten til Squid, skilt frå sertifikatet til nettstaden du skal vitja.
Dersom klientar avviser HTTPS-proxyen før dei når ein nettstad, undersøk kjeda proxylyttaren sender. Eitt gyldig bladsertifikat åleine gjev kanskje ikkje dei mellomliggjande sertifikata klienten treng.
- Identifiser endepunktet som vert kontrollert. Les vertsnamnet i den konfigurerte proxy-URL-en og feilen for den tilkoplinga. Sertifikatet til lyttaren må dekkje det namnet. Eit nettstadssertifikat eller sertifikat for eit anna IP-alias kan ikkje erstatta det.
- Kontroller kjedekonfigurasjonen til lyttaren. Den støtta OpenSSL-konfigurasjonen i Squid kan ta med mellomliggjande sertifikat i sertifikatfila. Stadfest oppsettet i lyttarreferansen for den installerte Squid-versjonen og TLS-backenden; pakkeåtferd er ikkje einsarta. TLS-lyttareksempelet i Squid 6.13 held lyttartilliten skild frå TLS-en til destinasjonen.
- Kontroller klienttilliten separat. Å senda mellomliggjande sertifikat hjelper med å byggja kjeda, men klienten treng framleis den tiltenkte rottillitsankra. Å importera heile tenarkjeda til eit rotlager utan skilje er ei anna endring enn å retta det tenaren sender.
Lat verifiseringa stå på. Ho identifiserer HTTPS-proxyen klienten hadde til hensikt å bruka. Når den tilkoplinga er verifisert, høyrer ein seinare nettstadssertifikatfeil til TLS-økta til destinasjonen gjennom proxyen, med si eiga vertsnamn- og tillitsgransking.