OpenSSL s_client: proxy-403 kjem før TLS-en til målet
Tolk eit 403 på CONNECT gjennom ein OpenSSL-proxy som svikt i tunnelsteget, og ikkje diagnostiser eit målssertifikat ut frå eit handtrykk som aldri starta.
Viss openssl s_client får HTTP 403 som svar på CONNECT-førespurnaden gjennom proxyen, start med den avvisinga. Den førespurde tunnelen er ikkje etablert.
Med -proxy ber s_client først HTTP-proxyen om å kople til målet som er oppgitt med -connect. Berre eit vellukka CONNECT-svar gjer denne utvekslinga om til ein tunnel for TLS-handtrykket til målet.
Denne rekkjefølgja forklarer ein elles forvirrande utskrift: ein proxyfeil etterfølgt av TLS-relaterte overskrifter, ingen motpartssertifikat eller ei tilsynelatande beroligande stadfestingslinje. Desse felta provar ikkje at sertifikatet til målet er motteke og stadfesta. Operasjonen stoppa på eit tidlegare stadium.
Noter svaret frå proxyen samt verten og porten til det førespurde målet. Eit 403 rettar merksemda mot tilgangsavgjerda til proxyen; eit 407 ber om proxyautentisering. Ingen av dei vert retta ved å slå av stadfestinga av sertifikatet til målet.
Når det er tillate å undersøkje utvekslinga, kan -debug-utskrifta frå s_client hjelpe med å avdekkje avvisinga. Hald eventuelle proxy-legitimasjonar utanfor delte spor. Ein vellukka tunnel ville framleis trengje si eiga TLS- og sertifikatvurdering etterpå, men det finst inga målretta sertifikatkjede å diagnostisere før det stadiet faktisk er nådd.