Um proxy HTTPS também precisa de enviar a sua cadeia de certificados

Se os clientes rejeitam o proxy HTTPS antes de chegar a um site, inspecione a cadeia enviada pelo listener do proxy. Um certificado folha válido por si só pode não fornecer os certificados intermédios de que o cliente precisa.

1. Identifique o endpoint que está a ser verificado. Leia o nome do host no URL do proxy configurado e o erro dessa ligação. O certificado do listener tem de cobrir esse nome. Um certificado de site ou um certificado para outro alias IP não o pode substituir.
2. Verifique a configuração da cadeia do listener. A configuração OpenSSL suportada pelo Squid pode incluir intermédios no ficheiro de certificados. Confirme a disposição na referência do listener para a versão do Squid instalada e o backend TLS; o comportamento dos pacotes não é uniforme. O exemplo de listener TLS do Squid 6.13 mantém a confiança do listener separada do TLS de destino.
3. Verifique a confiança do cliente em separado. Enviar os intermédios ajuda a construir a cadeia, mas o cliente continua a precisar da âncora de confiança raiz pretendida. Importar toda a cadeia do servidor para um armazém de raízes indiscriminadamente é uma alteração diferente de corrigir o que o servidor envia.

Mantenha a verificação ativa. Identifica o proxy HTTPS que o cliente pretendia usar. Depois de essa ligação ser verificada, um erro posterior de certificado do site pertence à sessão TLS de destino através do proxy, com a sua própria investigação de nome de host e confiança.