OpenSSL s_client: proxy-403:an kommer före målets TLS
Tolka ett 403 på CONNECT via en OpenSSL-proxy som ett fel i tunnelsteget och diagnostisera inte ett målscertifikat utifrån en handskakning som aldrig började.
Om openssl s_client får HTTP 403 som svar på sin CONNECT-begäran via proxyn, börja med den avvisningen. Den begärda tunneln har inte upprättats.
Med -proxy ber s_client först HTTP-proxyn att ansluta till målet som anges av -connect. Endast ett lyckat CONNECT-svar gör om det utbytet till en tunnel för målets TLS-handskakning.
Den här ordningen förklarar en annars förvirrande utskrift: ett proxyfel följt av TLS-relaterade rubriker, inget motpartscertifikat eller en till synes lugnande verifieringsrad. Dessa fält visar inte att målets certifikat togs emot och verifierades. Åtgärden stannade i ett tidigare skede.
Anteckna proxyns svar samt det begärda målets värd och port. Ett 403 riktar uppmärksamheten mot proxyns åtkomstbeslut; ett 407 begär proxyautentisering. Ingen av dem åtgärdas genom att stänga av verifieringen av målets certifikat.
När det är tillåtet att granska utbytet kan -debug-utskriften från s_client hjälpa till att synliggöra avvisningen. Håll eventuella proxyuppgifter utanför delade spår. En lyckad tunnel skulle ändå behöva sin egen TLS- och certifikatbedömning efteråt, men det finns ingen målscertifikatkedja att diagnostisera förrän det steget faktiskt har nåtts.