Ktorá strana inšpekčnej proxy odmietla certifikát?

Klient dôveruje schválenej inšpekčnej proxy. Požiadavka však zlyháva pre chybu certifikátu. Obe skutočnosti môžu platiť: táto proxy má ďalší vzťah TLS, ktorý treba overiť.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Pri zachytávaní ukončí prostredník TLS klienta a vytvorí si vlastné spojenie ďalej. Klient môže prijať certifikát predložený na jeho strane, zatiaľ čo proxy odmieta certifikát, ktorý dostáva od webu.

Prečítajte si chybu overovateľa

Určite, ktorý proces nahlásil zlyhaný reťazec alebo názov hostiteľa. Chybová stránka vygenerovaná proxy sa môže ku klientovi úspešne dostať cez platné spojenie. Ďalšia zmena súboru CA klienta neaktualizuje konfiguráciu dôvery proxy voči nadradenej strane.

Napríklad Mitmproxy dokumentuje samostatné voľby dôvery voči nadradenej strane, vrátane ssl_verify_upstream_trusted_ca. Príslušný správca môže nastaviť schválenú dôveru pre nadradenú službu a pritom zachovať overovanie. Iný proxy produkt potrebuje svoje zodpovedajúce rozhranie.

Skontrolujte aj skutočný názov cieľa a reťazec. Súkromná služba bez sprostredkujúceho certifikátu, exspirovaný certifikát a nerozpoznaný súkromný vydavateľ vyžadujú rôzne opravy. Zamýšľaná výnimka pre jednu súkromnú službu by sa nemala ticho stať globálnym prijatím každého certifikátu.

Obyčajný tunel CONNECT je iný

Nepriehľadný tunel na preposielanie nerozdeľuje TLS cieľa týmto spôsobom. Aplikácia zvyčajne sama vyjednáva a overuje túto reláciu TLS od konca ku koncu. Najprv zistite, či je zachytávanie skutočne súčasťou trasy, namiesto uplatňovania nastavení inšpekčnej proxy na akéhokoľvek prostredníka.

Zaznamenajte oba výsledky overenia oddelene. „Certifikát proxy je dôveryhodný“ odpovedá na otázku na strane klienta; nedosvedčuje, čo proxy videla, keď sa pripájala ďalej.