Një proxy HTTPS duhet të dërgojë edhe zinxhirin e vet të certifikatave

Nëse klientët e refuzojnë proxy-n HTTPS përpara se të arrijnë një sajt, shqyrtoni zinxhirin që dërgon dëgjuesi i proxy-t. Një certifikatë gjethe e vlefshme vetëm mund të mos sigurojë certifikatat e ndërmjetme që klienti ka nevojë.

1. Identifikoni pikën fundore që kontrollohet. Lexoni emrin e hostit në URL-në e konfiguruar të proxy-t dhe gabimin për atë lidhje. Certifikata e dëgjuesit duhet të mbulojë atë emër. Një certifikatë sajti ose certifikatë për një alias tjetër IP nuk mund ta zëvendësojë atë.
2. Kontrolloni konfigurimin e zinxhirit të dëgjuesit. Konfigurimi i mbështetur OpenSSL i Squid mund të përfshijë certifikata të ndërmjetme në skedarin e certifikatës. Konfirmoni renditjen në referencën e dëgjuesit për versionin e instaluar të Squid dhe TLS backend; sjellja e paketave nuk është uniforme. Shembulli i dëgjuesit TLS të Squid 6.13 e mban besimin e dëgjuesit të ndarë nga TLS i destinacionit.
3. Kontrolloni veçmas besimin e klientit. Dërgimi i certifikatave të ndërmjetme ndihmon në ndërtimin e zinxhirit, por klienti ende ka nevojë për ankorën e synuar të besimit rrënjë. Importimi i të gjithë zinxhirit të serverit në një depo rrënjë pa dallim është një ndryshim tjetër nga korrigjimi i asaj që dërgon serveri.

Lëreni verifikimin të aktivizuar. Ai identifikon proxy-n HTTPS që klienti synonte të përdorte. Pasi ajo lidhje verifikohet, një gabim i mëvonshëm i certifikatës së sajtit i përket sesionit TLS të destinacionit përmes proxy-t, me hetimin e vet të emrit të hostit dhe besimit.