OpenSSL s_client: 403 од проксија стиже пре TLS-а одредишта
Тумачите 403 на CONNECT кроз OpenSSL прокси као неуспех у фази тунела и не дијагностикујте сертификат одредишта на основу руковања које није ни почело.
Ако openssl s_client прими HTTP 403 као одговор на свој CONNECT захтев кроз прокси, почните од тог одбијања. Тражени тунел није успостављен.
Уз -proxy s_client најпре тражи од HTTP проксија да се повеже с одредиштем наведеним у -connect. Само успешан CONNECT одговор претвара ту размену у тунел за TLS руковање с одредиштем.
Тај редослед објашњава иначе збуњујући излаз: грешку проксија после које следе TLS наслови, изостанак сертификата друге стране или наизглед умирујућу линију провере. Та поља не доказују да је сертификат одредишта примљен и проверен. Операција се зауставила у ранијој фази.
Забележите одговор проксија те тражени хост и порт одредишта. 403 усмерава пажњу на одлуку проксија о приступу; 407 захтева аутентификацију на проксију. Ни једно се не исправља искључивањем провере сертификата одредишта.
Када је дозвољено прегледати размену, излаз -debug у s_clientu може помоћи открити одбијање. Држите све акредитиве проксија изван заједничких записа. Успешан тунел и даље би након тога требало властиту процену TLS-а и сертификата, али нема ланца сертификата циља за дијагностику док се та фаза заиста не достигне.