OpenSSL s_client: 403 z proxy prichádza pred TLS cieľa
Berte 403 na CONNECT cez proxy OpenSSL ako zlyhanie fázy tunela a nediagnostikujte certifikát cieľa z handshake, ktorý sa vôbec nezačal.
Ak openssl s_client dostane HTTP 403 ako odpoveď na svoju požiadavku CONNECT cez proxy, začnite práve týmto odmietnutím. Požadovaný tunel nebol nadviazaný.
S voľbou -proxy najprv s_client požiada HTTP proxy, aby sa pripojilo k cieľu určenému pomocou -connect. Až úspešná odpoveď CONNECT prepne túto výmenu na tunel pre TLS handshake s cieľom.
Toto poradie vysvetľuje inak mätúci výstup: chybu proxy nasledovanú nadpismi súvisiacimi s TLS, chýbajúci certifikát protistrany alebo zdanlivo upokojujúci riadok overenia. Tieto polia nedokazujú, že certifikát cieľa bol prijatý a overený. Operácia sa zastavila v skoršej fáze.
Zaznamenajte odpoveď proxy a požadovaný hostiteľ a port cieľa. 403 obracia pozornosť na rozhodnutie proxy o prístupe; 407 žiada overenie voči proxy. Ani jedno sa nerieši vypnutím overovania certifikátu cieľa.
Keď je povolené skúmať výmenu, výstup -debug v s_cliente môže pomôcť odhaliť odmietnutie. Uchovávajte akékoľvek prihlasovacie údaje k proxy mimo zdieľaných záznamov. Úspešný tunel by potom stále potreboval vlastné posúdenie TLS a certifikátov, ale reťaz certifikátov cieľa na diagnostiku neexistuje, kým sa do tejto fázy skutočne nedostaneme.