Chyby certifikátu pri používaní proxy
Pred zmenou nastavení certifikátov zistite, či zlyhalo overenie TLS spojenia k samotnej proxy alebo k cieľovému webu.
Pred zmenou balíka CA zistite, ktorý TLS handshake zlyhal. Certifikát proxy a certifikát webu sa môžu overovať na rôznych spojeniach.
| Proxy a cieľ | Kontroly TLS |
|---|---|
| HTTP proxy pre cieľ HTTPS | Po CONNECT overte certifikát cieľa cez tunel. |
| HTTPS proxy pre cieľ HTTPS | Najprv overte TLS k proxy; po otvorení tunela overte samostatnú TLS reláciu k cieľu. |
Pomocou podrobného trasovania určte požadovaný názov hostiteľa a posledný dokončený handshake. Chyba certifikátu HTTPS proxy môže nastať ešte pred kontaktovaním webu. Skontrolujte zamýšľaný názov daného spojenia, dobu platnosti certifikátu, miestne hodiny, očakávaný reťazec a schválené úložisko dôveryhodných certifikátov. Do skúmania zahrňte aj zámerne nastavené zachytávanie TLS alebo pridaný koreňový certifikát.
curl ponúka samostatné voľby CA pre obe spojenia:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert určuje dôveru pre proxy; --cacert pre cieľ. Nahraďte ukážkový koncový bod a súbory hodnotami zo zamýšľaného nastavenia dôvery. Vlastné balíky sú zbytočné, ak už postačuje systémové úložisko.
Nahradenie názvu hostiteľa ľubovoľnou IP adresou mení párovanie certifikátu. Vynechanie overenia môže skryť chybu bez potvrdenia identity druhej strany. Pri neznámej proxy požiadavka na inštaláciu jej koreňovej CA nie je dostatočným dôvodom dôverovať jej.
Odmietnuté spojenie s portom alebo odmietnuté CONNECT patria do skoršej fázy; zmena certifikátov ich neopraví. Naopak, po overení TLS cieľa sa HTTP chyba webu týka prijatej odpovede, nie ďalšej úpravy CA.