Spora proxyfeil i CRL- og OCSP-sertifikatkontrollar

Ein nettstadførespurnad kan nå proxyen sin og likevel mislukkast fordi sertifikatverifisering treng ein ny nettverksførespurnad. Ei CRL- eller OCSP-henting kan gå gjennom ein plattformkomponent med ein annan konto og proxy-policy enn HTTP-klienten til programmet.

Start med den nøyaktige kjedefeilen. Revoked tyder noko anna enn kan ikkje hente gjeldande tilbakekallingsinformasjon. Utløp og ein ikkje-klarert utferdar er igjen andre problem. Berre hentefeilen krev sporing av ein manglande rute til ein status-URL.

For den feilen, identifiser tre ting saman: URL-en som blir henta, komponenten som utfører hentinga og prosessidentiteten hans. At ein nettlesar opnar URL-en under din interaktive konto, beviser ikkje at ein teneste kan autentisere seg mot same proxy.

Viss den identifiserte komponenten brukar WinHTTP, undersøk policyen som gjeld for han. Statisk proxykonfigurasjon og automatisk proxyvurdering per URL er separate mekanismar. Bruk den støtta konfigurasjonen for den tiltenkte kontoen; å kopiere nettlesarinnstillingar eller endre ein urelatert køyretid kan la den faktiske hentinga vere urørt.

I .NET styrer UrlRetrievalTimeout i kjedepolicyen ein venting på nettverifisering eller CRL-henting. Å forlenge den vanlege HTTP-responstimeouten forlengar ikkje den same timeren, og å forlenge hentetimeren gir ikkje proxy-legitimasjon eller ei rute.

Ein HTTPS-proxy kan gjere denne avhengnaden synleg allereie før TLS mot målet: tillit til proxyforbindelsen kan sjølv krevje tilbakekallingshenting. Gjenopprett den støtta hentetilgangen og tillitsordninga på det stadiet. Å slå av tilbakekallingskontroll endrar sertifikatpolicyen; det gjenopprettar ikkje den mislukka hentinga.