HTTPS proxy takođe mora da pošalje svoj lanac sertifikata

Ako klijenti odbiju HTTPS proxy pre nego što stignu do veb-stranice, pregledajte lanac koji šalje slušalac proxyja. Samo važeći završni sertifikat možda ne pruža posredničke sertifikate koji su klijentu potrebni.

1. Identifikujte krajnju tačku koja se proverava. Pročitajte naziv hosta u konfigurisanom URL-u proxyja i grešku za tu vezu. Sertifikat slušaoca mora da pokriva taj naziv. Sertifikat veb-stranice ili sertifikat za drugi IP alias ne može ga zameniti.
2. Proverite konfiguraciju lanca slušaoca. Podržana OpenSSL konfiguracija Squida može da uključi posredničke sertifikate u datoteku sertifikata. Potvrdite raspored u referenci slušaoca za instaliranu verziju Squida i TLS backend; ponašanje paketa nije ujednačeno. Primer TLS slušaoca u Squidu 6.13 drži poverenje slušaoca odvojeno od TLS-a odredišta.
3. Proverite poverenje klijenta odvojeno. Slanje posredničkih sertifikata pomaže izgradnji lanca, ali klijentu i dalje treba predviđeno korensko sidro poverenja. Uvoz celog serverskog lanca u korensko skladište bez razlike je druga izmena od ispravljanja onoga što server šalje.

Ostavite proveru uključenom. Ona identifikuje HTTPS proxy koji je klijent nameravao da koristi. Nakon što se ta veza potvrdi, kasnija greška sertifikata veb-stranice pripada TLS sesiji odredišta kroz proxy, sa sopstvenom istragom naziva hosta i poverenja.