Gabimet e certifikatave kur përdorni proxy
Para se të ndryshoni cilësimet e certifikatave, përcaktoni nëse dështoi verifikimi i lidhjes TLS me vetë proxy-n apo me faqen e destinacionit.
Para se të ndryshoni një paketë CA, gjeni cili shtrëngim duarsh TLS dështoi. Certifikata e proxy-t dhe ajo e faqes mund të kontrollohen në lidhje të ndryshme.
| Proxy dhe destinacioni | Kontrollet TLS |
|---|---|
| Proxy HTTP drejt një destinacioni HTTPS | Pas CONNECT, verifikoni certifikatën e destinacionit përmes tunelit. |
| Proxy HTTPS drejt një destinacioni HTTPS | Fillimisht verifikoni TLS me proxy-n; pas hapjes së tunelit, verifikoni seancën TLS të veçantë me destinacionin. |
Përdorni gjurmimin e hollësishëm për të identifikuar emrin e kërkuar të hostit dhe shtrëngimin e fundit të përfunduar të duarve. Gabimi i certifikatës së proxy-t HTTPS mund të ndodhë para kontaktit me faqen. Kontrolloni emrin e synuar për atë lidhje, periudhën e vlefshmërisë së certifikatës, orën lokale, zinxhirin e pritur dhe depon e miratuar të besimit. Përfshini në hetim edhe përgjimin TLS të konfiguruar qëllimisht ose një certifikatë rrënjë të shtuar.
curl ofron opsione CA të ndara për dy lidhjet:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert jep bazën e besimit për proxy-n; --cacert për destinacionin. Zëvendësoni pikën fundore dhe skedarët e shembullit me vlerat e konfigurimit të synuar të besimit. Paketat e personalizuara nuk duhen nëse besimi i sistemit mjafton tashmë.
Zëvendësimi i emrit të hostit me një IP arbitrare ndryshon përputhjen e certifikatës. Anashkalimi i verifikimit mund ta fshehë dështimin pa vërtetuar identitetin e palës tjetër. Për një proxy të panjohur, kërkesa për të instaluar CA-në e tij rrënjë nuk është arsye e mjaftueshme për t’i besuar.
Një lidhje porte e refuzuar ose një CONNECT i refuzuar i përket një faze më të hershme; ndryshimi i certifikatave nuk e rregullon. Anasjelltas, pasi verifikohet TLS i destinacionit, një gabim HTTP i faqes i përket përgjigjes së marrë, jo një rregullimi tjetër të CA-së.