OpenSSL s_client: eroarea 403 de la proxy apare înainte de TLS-ul destinației
Interpretează un 403 la CONNECT prin proxy OpenSSL ca o defecțiune a etapei de tunel și nu diagnostica certificatul destinației pornind de la un handshake care nu a început niciodată.
Dacă openssl s_client primește HTTP 403 ca răspuns la cererea sa CONNECT prin proxy, începe cu acel refuz. Tunelul solicitat nu a fost stabilit.
Cu -proxy, s_client cere mai întâi proxy-ului HTTP să se conecteze la destinația indicată de -connect. Doar un răspuns CONNECT reușit transformă acest schimb într-un tunel pentru handshake-ul TLS al destinației.
Această ordine explică o ieșire altfel confuză: o eroare de proxy urmată de titluri legate de TLS, niciun certificat al celeilalte părți sau o linie de verificare aparent liniștitoare. Acele câmpuri nu dovedesc că certificatul destinației a fost primit și verificat. Operațiunea s-a oprit într-o etapă anterioară.
Notează răspunsul proxy-ului, precum și gazda și portul destinației solicitate. Un 403 îndreaptă atenția spre decizia de acces a proxy-ului; un 407 cere autentificare la proxy. Niciunul nu se rezolvă prin dezactivarea verificării certificatului destinației.
Când este permisă inspectarea schimbului, ieșirea -debug a s_client poate ajuta la dezvăluirea refuzului. Ține orice acreditări de proxy în afara urmelor partajate. Un tunel reușit ar avea nevoie în continuare de propria evaluare TLS și de certificate, dar nu există niciun lanț de certificate țintă de diagnosticat până când acea etapă nu este atinsă efectiv.