Praćenje kvarova proxyja u provjerama certifikata CRL i OCSP

Zahtjev prema web-mjestu može doći do svog proxyja i ipak ne uspjeti jer provjera certifikata treba još jedan mrežni zahtjev. Dohvaćanje CRL ili OCSP može se izvršavati kroz komponentu platforme s drugim računom i drugom proxy politikom od HTTP klijenta aplikacije.

Počnite s točnom pogreškom lanca. Revoked znači nešto drugo od nije moguće dobiti trenutne podatke o opozivu. Istek i nepouzdan izdavatelj opet su drugi problemi. Samo kvar dohvaćanja zahtijeva praćenje nedostajuće rute do URL-a stanja.

Za taj kvar utvrdite tri stvari zajedno: URL koji se dohvaća, komponentu koja obavlja dohvaćanje i identitet njezina procesa. To što preglednik uspješno otvara URL pod vašim interaktivnim računom ne dokazuje da se usluga može autentificirati na istom proxyju.

Ako identificirana komponenta koristi WinHTTP, ispitajte politiku koja se na nju primjenjuje. Statička konfiguracija proxyja i automatska procjena proxyja po URL-u odvojeni su mehanizmi. Primijenite podržanu konfiguraciju za predviđeni račun; kopiranje postavki preglednika ili promjena nepovezanog runtimea može ostaviti stvarno dohvaćanje netaknutim.

U .NET-u UrlRetrievalTimeout u politici lanca kontrolira čekanje na mrežnu provjeru ili dohvaćanje CRL-a. Produljenje uobičajenog vremenskog ograničenja HTTP odgovora ne produljuje taj isti timer, a produljenje timera dohvaćanja ne daje proxy vjerodajnice ni rutu.

HTTPS proxy može učiniti tu ovisnost vidljivom već prije TLS-a prema odredištu: povjerenje u proxy vezu samo može zahtijevati dohvaćanje podataka o opozivu. Vratite podržani pristup dohvaćanju i raspored povjerenja u toj fazi. Isključivanje provjere opoziva mijenja politiku certifikata; ono ne vraća neuspjelo dohvaćanje.