Грешке сертификата при коришћењу проксија
Пре промене подешавања сертификата утврдите да ли је провера TLS везе са самим проксијем или са одредишним сајтом била неуспешна.
Пре промене CA пакета утврдите које TLS руковање није успело. Сертификат проксија и сертификат сајта могу да се проверавају на различитим везама.
| Прокси и одредиште | TLS провере |
|---|---|
| HTTP прокси за HTTPS одредиште | После CONNECT проверите сертификат одредишта кроз тунел. |
| HTTPS прокси за HTTPS одредиште | Прво проверите TLS до проксија; после отварања тунела проверите засебну TLS сесију до одредишта. |
Детаљним трагом утврдите тражено име хоста и последње завршено руковање. Грешка сертификата HTTPS проксија може да се појави пре контакта са сајтом. Проверите предвиђено име те везе, период важења сертификата, локални сат, очекивани ланац и одобрено складиште поверења. У истрагу укључите намерно подешено TLS пресретање или додати коренски сертификат.
curl нуди одвојене CA опције за две везе:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert одређује поверење за прокси; --cacert за одредиште. Замените пример крајње тачке и датотеке вредностима из предвиђеног система поверења. Прилагођени пакети нису потребни ако је системско поверење већ довољно.
Замена имена хоста произвољним IP-ом мења подударање сертификата. Прескакање провере може да сакрије грешку без утврђивања идентитета друге стране. Код непознатог проксија захтев да инсталирате његов коренски CA није довољан разлог за поверење.
Одбијена веза на порт или одбијен CONNECT припадају ранијој фази; промена сертификата то не може да поправи. Обрнуто, после провере TLS-а одредишта HTTP грешка сајта односи се на примљени одговор, а не на ново подешавање CA-а.