En HTTPS-proxy måste också skicka sin certifikatkedja
Diagnostisera saknade mellanliggande certifikat på TLS-lyssnaren från klienten till Squid separat från certifikatet för målwebbplatsen.
Om klienter avvisar HTTPS-proxyn innan de når en webbplats, undersök kedjan som proxylyssnaren skickar. Ett giltigt lövcertifikat ensamt ger kanske inte de mellanliggande certifikat som klienten behöver.
- Identifiera slutpunkten som kontrolleras. Läs värdnamnet i den konfigurerade proxy-URL:en och felet för den anslutningen. Lyssnares certifikat måste täcka det namnet. Ett webbplats certifikat eller certifikat för ett annat IP-alias kan inte ersätta det.
- Kontrollera lyssnarens kedjekonfiguration. Squids OpenSSL-konfiguration kan inkludera mellanliggande certifikat i certifikatfilen. Bekräfta upplägget i lyssnarreferensen för den installerade Squid-versionen och TLS-backend; paketens beteende är inte enhetligt. TLS-lyssnarexemplet i Squid 6.13 håller lyssnarens förtroende åtskilt från målets TLS.
- Kontrollera klientförtroendet separat. Att skicka mellanliggande certifikat hjälper till att bygga kedjan, men klienten behöver fortfarande den avsedda rotförtroendeankaren. Att importera hela serverkedjan till ett rotlager urskillningslöst är en annan ändring än att rätta det servern skickar.
Låt verifieringen vara på. Den identifierar den HTTPS-proxy som klienten avsåg att använda. När den anslutningen har verifierats tillhör ett senare webbplats certifikatfel målets TLS-session via proxyn, med sin egen värdnamns- och förtroendeutredning.