OpenSSL s_client: błąd 403 proxy pojawia się przed TLS celu
Traktuj 403 na CONNECT przez proxy OpenSSL jako awarię etapu tunelu i nie diagnozuj certyfikatu celu na podstawie uścisku dłoni, który nigdy się nie rozpoczął.
Jeśli openssl s_client otrzyma HTTP 403 w odpowiedzi na swoje żądanie CONNECT przez proxy, zacznij od tej odmowy. Żądany tunel nie został ustanowiony.
Z opcją -proxy s_client najpierw prosi proxy HTTP o połączenie z celem wskazanym przez -connect. Dopiero udana odpowiedź CONNECT zamienia tę wymianę w tunel dla uścisku dłoni TLS celu.
Ta kolejność wyjaśnia inaczej mylące wyjście: błąd proxy, po którym następują nagłówki związane z TLS, brak certyfikatu drugiej strony lub pozornie uspokajający wiersz weryfikacji. Te pola nie dowodzą, że certyfikat celu został odebrany i zweryfikowany. Operacja zatrzymała się na wcześniejszym etapie.
Zapisz odpowiedź proxy oraz żądany host i port celu. 403 kieruje uwagę na decyzję proxy o dostępie; 407 żąda uwierzytelnienia w proxy. Żadnego z nich nie naprawia wyłączenie weryfikacji certyfikatu celu.
Gdy wolno zbadać wymianę, wyjście -debug s_client może pomóc ujawnić odmowę. Trzymaj wszelkie dane logowania do proxy poza współdzielonymi śladami. Udany tunel i tak wymagałby potem własnej oceny TLS i certyfikatów, ale nie ma łańcucha certyfikatów celu do zdiagnozowania, dopóki ten etap nie zostanie faktycznie osiągnięty.