Błędy certyfikatu podczas korzystania z proxy
Zanim zmienisz ustawienia certyfikatów, ustal, czy weryfikacja nie powiodła się dla połączenia TLS z samym proxy, czy z witryną docelową.
Przed zmianą pakietu CA ustal, które uzgadnianie TLS się nie powiodło. Certyfikat proxy i certyfikat witryny mogą być sprawdzane na różnych połączeniach.
| Proxy i cel | Kontrole TLS |
|---|---|
| Proxy HTTP do celu HTTPS | Po CONNECT zweryfikuj certyfikat celu przez tunel. |
| Proxy HTTPS do celu HTTPS | Najpierw zweryfikuj TLS do proxy; po otwarciu tunelu zweryfikuj osobną sesję TLS do celu. |
Użyj szczegółowego śladu, aby ustalić żądaną nazwę hosta i ostatnie zakończone uzgadnianie. Błąd certyfikatu proxy HTTPS może wystąpić, zanim klient skontaktuje się z witryną. Sprawdź zamierzoną nazwę tego połączenia, okres ważności certyfikatu, lokalny zegar, oczekiwany łańcuch i zatwierdzony magazyn zaufania. Uwzględnij celowo skonfigurowane przechwytywanie TLS lub dodany certyfikat główny.
curl udostępnia osobne opcje CA dla obu połączeń:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert określa podstawę zaufania dla proxy, a --cacert dla celu. Zastąp przykładowy punkt końcowy i pliki wartościami z zamierzonej konfiguracji zaufania. Własne pakiety nie są potrzebne, jeśli zaufanie systemowe już wystarcza.
Zastąpienie nazwy hosta dowolnym adresem IP zmienia dopasowanie certyfikatu. Pominięcie weryfikacji może ukryć błąd bez potwierdzenia tożsamości drugiej strony. W przypadku nieznanego proxy prośba o zainstalowanie jego głównego CA nie jest wystarczającym powodem, by mu zaufać.
Odmowa połączenia z portem lub odrzucone CONNECT należą do wcześniejszego etapu; zmiana certyfikatów tego nie naprawi. Z kolei po zweryfikowaniu TLS celu błąd HTTP witryny dotyczy otrzymanej odpowiedzi, a nie kolejnej korekty CA.