Hitilafu za cheti unapotumia proksi
Kabla ya kubadili mipangilio ya vyeti, tambua kama uthibitishaji ulishindwa kwenye muunganisho wa TLS wa proksi yenyewe au wa tovuti lengwa.
Tambua ni mazungumzo gani ya kuanzisha TLS yaliyoshindwa kabla ya kubadili kifurushi cha CA. Cheti cha proksi na cheti cha tovuti vinaweza kukaguliwa kwenye miunganisho tofauti.
| Proksi na lengwa | Ukaguzi wa TLS |
|---|---|
| Proksi ya HTTP kwenda lengwa la HTTPS | Baada ya CONNECT, thibitisha cheti cha lengwa kupitia handaki. |
| Proksi ya HTTPS kwenda lengwa la HTTPS | Kwanza thibitisha TLS kwa proksi; handaki likifunguka, thibitisha kipindi tofauti cha TLS kwa lengwa. |
Tumia ufuatiliaji wa kina kutambua jina la seva lililoombwa na mazungumzo ya mwisho yaliyokamilika. Hitilafu ya cheti cha proksi ya HTTPS inaweza kutokea kabla ya kuwasiliana na tovuti. Kagua jina lililokusudiwa kwa muunganisho huo, muda wa uhalali wa cheti, saa ya kifaa, mnyororo unaotarajiwa na hifadhi ya uaminifu iliyoidhinishwa. Jumuisha pia unasaji wa TLS uliosanidiwa kimakusudi au cheti cha mzizi kilichoongezwa katika uchunguzi.
curl hutoa chaguo tofauti za CA kwa miunganisho hiyo miwili:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert hutoa msingi wa uaminifu kwa proksi; --cacert kwa lengwa. Badilisha sehemu ya muunganisho na faili za mfano kwa thamani za mpangilio wa uaminifu unaokusudia. Vifurushi maalumu havihitajiki ikiwa uaminifu wa mfumo tayari unatosha.
Kubadili jina la seva kuwa IP yoyote hubadili ulinganishaji wa cheti. Kuruka uthibitishaji kunaweza kuficha hitilafu bila kuthibitisha utambulisho wa upande mwingine. Kwa proksi usiyoifahamu, ombi la kusakinisha CA yake ya mzizi si sababu ya kutosha kuiamini.
Muunganisho wa porti uliokataliwa au CONNECT iliyokataliwa ni ya hatua ya awali; kubadili vyeti hakuwezi kuirekebisha. Kwa upande mwingine, baada ya TLS ya lengwa kuthibitishwa, hitilafu ya HTTP ya tovuti inahusu jibu lililopokelewa, si marekebisho mengine ya CA.