Sledovanie zlyhaní proxy pri kontrolách certifikátov CRL a OCSP
Sledujte získavanie CRL alebo OCSP v konte overovateľa, keď aplikácia dosiahne svoje proxy, ale validácia certifikátu sa nedokáže dokončiť.
Požiadavka na web môže dosiahnuť svoje proxy a napriek tomu zlyhať, pretože overenie certifikátu potrebuje ďalšiu sieťovú požiadavku. Získavanie CRL alebo OCSP môže prebiehať cez komponent platformy s iným kontom a inou politikou proxy, než má HTTP klient aplikácie.
Začnite presnou chybou reťazca. Revoked znamená niečo iné ako nie je možné získať aktuálne informácie o odvolaní. Expirácia a nedôveryhodný vydavateľ sú opäť iné problémy. Len zlyhanie získavania si vyžaduje sledovanie chýbajúcej trasy na URL stavu.
Pre toto zlyhanie určte tri veci naraz: získavanú URL, komponent, ktorý získavanie vykonáva, a identitu jeho procesu. To, že prehliadač úspešne otvorí URL vo vašom interaktívnom konte, nedokazuje, že sa služba dokáže autentifikovať na tom istom proxy.
Ak identifikovaný komponent používa WinHTTP, preskúmajte politiku, ktorá sa naň vzťahuje. Statická konfigurácia proxy a automatické vyhodnocovanie proxy podľa URL sú oddelené mechanizmy. Použite podporovanú konfiguráciu pre zamýšľané konto; kopírovanie nastavení prehliadača alebo zmena nesúvisiaceho runtime môže skutočné získavanie nechať nedotknuté.
V .NET UrlRetrievalTimeout v politike reťazca riadi čakanie na online overenie alebo získanie CRL. Predĺženie bežného časového limitu HTTP odpovede nepredlžuje ten istý časovač a predĺženie časovača získavania neposkytuje poverenia proxy ani trasu.
Proxy HTTPS môže túto závislosť zviditeľniť ešte pred TLS k cieľu: dôvera v spojenie s proxy sama môže vyžadovať získanie informácií o odvolaní. V tejto fáze obnovte podporovaný prístup k získavaniu a usporiadanie dôvery. Vypnutie kontroly odvolania mení politiku certifikátov; neobnovuje zlyhané získavanie.