OpenSSL s_client: 403 nga proxy vjen përpara TLS-së të destinacionit
Interpretoni 403 në CONNECT përmes proxy-t OpenSSL si dështim në fazën e tunelit dhe mos diagnostikoni certifikatën e destinacionit nga një handshake që nuk filloi kurrë.
Nëse openssl s_client merr HTTP 403 si përgjigje ndaj kërkesës së tij CONNECT përmes proxy-t, filloni nga ai refuzim. Tuneli i kërkuar nuk është vendosur.
Me -proxy, s_client së pari i kërkon proxy-t HTTP të lidhet me destinacionin e përcaktuar nga -connect. Vetëm një përgjigje CONNECT e suksesshme e shndërron atë shkëmbim në tunel për handshake-un TLS të destinacionit.
Kjo renditje shpjegon një dalje ndryshe konfuze: një gabim proxy i ndjekur nga tituj që lidhen me TLS, asnjë certifikatë e palës tjetër, ose një rresht verifikimi që duket qetësues. Këto fusha nuk vërtetojnë se certifikata e destinacionit u pranua dhe u verifikua. Operacioni u ndal në një fazë më të hershme.
Regjistroni përgjigjen e proxy-t dhe hostin e portin e destinacionit të kërkuar. 403 e drejton vëmendjen te vendimi i proxy-t për aksesin; 407 kërkon vërtetim identiteti në proxy. Asnjëra nuk rregullohet duke çaktivizuar verifikimin e certifikatës së destinacionit.
Kur lejohet të inspektohet shkëmbimi, dalja -debug e s_client mund të ndihmojë për të zbuluar refuzimin. Mbani çdo kredencial proxy jashtë gjurmëve të përbashkëta. Një tunel i suksesshëm do të kishte përsëri nevojë më pas për vlerësimin e vet të TLS-së dhe certifikatave, por nuk ka zinxhir certifikatash destinacioni për të diagnostikuar derisa ajo fazë të arrihet vërtet.