WRONG_VERSION_NUMBER s posrednikom: preverite HTTP proti HTTPS

Napaka pravi “napačna različica”, zato mika, da bi začeli menjati različice TLS. Pri posredniku preverite prejšnjo možnost: je odjemalec poslal rokovanje TLS vrata, ki so čakala na navaden HTTP?

Cilj, kot je https://example.com/, in posrednik, kot je http://proxy.example:8080, sta običajen par. Sprememba drugega URL-ja v HTTPS pove odjemalcu, naj šifrira pogovor s samim posrednikom. To ni navodilo za dovoljenje spletnih mest HTTPS.

Poiščite prvi pogovor TLS

Pri posredniku HTTP lahko odjemalec najprej pošlje CONNECT in prejme odgovor HTTP. Šele nato začne TLS cilja znotraj tunela. Pri posredniku HTTPS najprej pride ločena povezava TLS s posrednikom.

Razčlenjevalnik TLS, ki prejme stran z napako HTTP ali drugo navadno besedilo, lahko sporoči napako protokola. Formulacija ne določa, katere različice TLS spletno mesto podpira, niti da je bilo spletno mesto sploh vzpostavljeno.

1. Zapišite URL posrednika, vključno z njegovo shemo, in dokumentirani protokol končne točke.
2. Ugotovite, ali se je napaka zgodila pred odgovorom CONNECT, med TLS cilja ali med preverjanjem potrdila samega posrednika.
3. Pri primerjavi stare rešitve preverite dejanske različice odjemalca in odvisnosti. Prejšnje izvedbe posrednika so včasih shemo obravnavale drugače.

Več popravkov je lahko napačnih iz različnih razlogov. Seznam posrednikov HTTP ponuja običajne kandidate končnih točk HTTP za javne zahteve, dovoljene po takšni poti. Navadna končna točka HTTP potrebuje shemo posrednika HTTP; resnično omogočena končna točka TLS bi morala obdržati HTTPS in preverjanje potrdila. Posrednik, ki zavrača CONNECT, potrebuje podprto storitev ali politiko, ne samovoljnega znižanja knjižnice.

Obdržite prvo opazno napako. Izklop preverjanja potrdil ne more prisiliti poslušalca, ki govori le HTTP, da bi govoril TLS, in izbira stare šifrirne politike ne more pojasniti zavrnitve HTTP, poslane pred rokovanjem spletnega mesta.