Erori de certificat când folosești un proxy
Înainte de a schimba certificatele, identifică dacă a eșuat verificarea conexiunii TLS cu proxy-ul însuși sau cu site-ul de destinație.
Înainte de a modifica un pachet de CA, află ce negociere TLS a eșuat. Certificatul proxy-ului și cel al site-ului pot fi verificate pe conexiuni diferite.
| Proxy și destinație | Verificări TLS |
|---|---|
| Proxy HTTP către o destinație HTTPS | După CONNECT, verifică certificatul destinației prin tunel. |
| Proxy HTTPS către o destinație HTTPS | Verifică mai întâi TLS cu proxy-ul; după deschiderea tunelului, verifică sesiunea TLS separată cu destinația. |
Folosește urmărirea detaliată pentru a identifica numele de gazdă solicitat și ultima negociere încheiată. O eroare de certificat la proxy-ul HTTPS poate apărea înainte de contactarea site-ului. Verifică numele prevăzut pentru acea conexiune, perioada de valabilitate a certificatului, ceasul local, lanțul așteptat și depozitul de încredere aprobat. Include în investigație orice interceptare TLS configurată intenționat sau certificat rădăcină adăugat.
curl oferă opțiuni CA separate pentru cele două conexiuni:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert furnizează baza de încredere pentru proxy; --cacert pentru destinație. Înlocuiește punctul de conectare și fișierele din exemplu cu valorile configurației de încredere dorite. Pachetele personalizate sunt inutile dacă încrederea sistemului este deja suficientă.
Înlocuirea unui nume de gazdă cu un IP arbitrar schimbă potrivirea certificatului. Omiterea verificării poate ascunde eroarea fără a confirma identitatea celuilalt capăt. Pentru un proxy necunoscut, cererea de a-i instala CA rădăcină nu este un motiv suficient să ai încredere în el.
Un port care refuză conexiunea sau un CONNECT respins țin de o etapă anterioară; schimbarea certificatelor nu le poate remedia. Invers, după verificarea TLS a destinației, o eroare HTTP a site-ului ține de răspunsul primit, nu de o nouă ajustare CA.