HTTPS proxy musí odosielať aj svoj reťazec certifikátov

Diagnostikujte chýbajúce sprostredkujúce certifikáty na TLS listeneri od klienta k Squidu oddelene od certifikátu cieľového webu.

Ak klienti odmietnu HTTPS proxy pred dosiahnutím webu, preskúmajte reťazec, ktorý odosiela listener proxy. Samotný platný koncový certifikát nemusí poskytnúť sprostredkujúce certifikáty, ktoré klient potrebuje.

  1. Určite kontrolovaný koncový bod. Prečítajte názov hostiteľa v nakonfigurovanej URL proxy a chybu pre toto spojenie. Certifikát listenera musí pokrývať tento názov. Certifikát webu alebo certifikát pre iný alias IP ho nemôže nahradiť.
  2. Skontrolujte konfiguráciu reťazca listenera. Podporovaná konfigurácia OpenSSL v Squide môže zahŕňať sprostredkujúce certifikáty v súbore certifikátu. Potvrďte usporiadanie v referencii listenera pre nainštalovanú verziu Squidu a TLS backend; správanie balíkov nie je jednotné. Príklad TLS listenera v Squide 6.13 drží dôveru listenera oddelene od TLS cieľa.
  3. Skontrolujte dôveru klienta oddelene. Odosielanie sprostredkujúcich certifikátov pomáha zostaviť reťazec, ale klient stále potrebuje zamýšľanú koreňovú kotvu dôvery. Import celého serverového reťazca do koreňového úložiska bez rozlíšenia je iná zmena ako oprava toho, čo server odosiela.

Nechajte overovanie zapnuté. Určuje HTTPS proxy, ktorý klient zamýšľal použiť. Po overení tohto spojenia patrí neskoršia chyba certifikátu webu TLS relácii cieľa cez proxy a má vlastné vyšetrovanie názvu hostiteľa a dôvery.

Súvisiace články