Greške certifikata pri korištenju proxyja
Prije promjene postavki certifikata utvrdite je li provjera TLS veze sa samim proxyjem ili s odredišnim sajtom bila neuspješna.
Prije promjene CA paketa utvrdite koje TLS rukovanje nije uspjelo. Certifikat proxyja i certifikat sajta mogu se provjeravati na različitim vezama.
| Proxy i odredište | TLS provjere |
|---|---|
| HTTP proxy za HTTPS odredište | Poslije CONNECT provjerite certifikat odredišta kroz tunel. |
| HTTPS proxy za HTTPS odredište | Prvo provjerite TLS do proxyja; poslije otvaranja tunela provjerite zasebnu TLS sesiju do odredišta. |
Detaljnim tragom utvrdite traženo ime hosta i posljednje završeno rukovanje. Greška certifikata HTTPS proxyja može se pojaviti prije kontakta sa sajtom. Provjerite predviđeno ime te veze, period važenja certifikata, lokalni sat, očekivani lanac i odobreno spremište povjerenja. U istragu uključite namjerno podešeno TLS presretanje ili dodani korijenski certifikat.
curl nudi odvojene CA opcije za dvije veze:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert određuje povjerenje za proxy; --cacert za odredište. Zamijenite primjer krajnje tačke i datoteke vrijednostima iz predviđenog sistema povjerenja. Prilagođeni paketi nisu potrebni ako je sistemsko povjerenje već dovoljno.
Zamjena imena hosta proizvoljnim IP-om mijenja podudaranje certifikata. Preskakanje provjere može sakriti grešku bez utvrđivanja identiteta druge strane. Kod nepoznatog proxyja zahtjev da instalirate njegov korijenski CA nije dovoljan razlog za povjerenje.
Odbijena veza na port ili odbijen CONNECT pripadaju ranijoj fazi; promjena certifikata to ne može popraviti. Obrnuto, poslije provjere TLS-a odredišta HTTP greška sajta odnosi se na primljeni odgovor, a ne na novo podešavanje CA-a.