Sporing av proxyfeil ved CRL- og OCSP-sertifikatkontroller

Et nettstedforespørsel kan nå proxyen sin og likevel feile, fordi sertifikatverifisering krever enda et nettverkskall. Henting av CRL eller OCSP kan skje gjennom en plattformkomponent som har en annen konto og et annet proxyregelsett enn programmets HTTP-klient.

Ta utgangspunkt i den konkrete kjedefeilen. Revoked betyr noe annet enn får ikke tak i gjeldende tilbakekallingsinformasjon. Utløpt sertifikat og ukjent utsteder er på nytt andre problemer. Kun selve hentefunksjonen svikter på en måte som krever at man sporer en manglende vei til en statusadresse.

For den feilen må tre forhold kartlegges samtidig: hvilken URL som hentes, hvilken komponent som henter den, og hvilken prosessidentitet komponenten har. At en nettleser får åpnet URL-en med din innloggede konto, er ikke bevis for at en tjeneste kan autentisere seg mot den samme proxyen.

Bruker komponenten du fant, WinHTTP, må du se på regelsettet som gjelder for den. Fast proxyoppsett og automatisk proxyvurdering per URL er to forskjellige mekanismer. Bruk det støttede oppsettet for den kontoen som er ment; kopiering av nettleserinnstillinger eller endring av en urelatert kjøretid kan la selve hentingen forbli uberørt.

På .NET styrer UrlRetrievalTimeout i kjedepolicyen hvor lenge det ventes på nettverifisering eller CRL-henting. Å øke den ordinære HTTP-responstidsgrensen øker ikke denne timeren, og å øke hentetimeren skaffer verken proxy-påloggingsdata eller en rute.

En HTTPS-proxy kan gjøre denne avhengigheten synlig allerede før TLS mot målet: tilliten til proxyforbindelsen kan i seg selv kreve henting av tilbakekalling. Gjenopprett støttet tilgang til henting og tillitsoppsettet på dette trinnet. Å skru av tilbakekallingskontroll endrer sertifikatreglene; den mislykkede hentingen blir ikke gjenopprettet av det.