ข้อผิดพลาดของใบรับรองเมื่อใช้พร็อกซี

ก่อนเปลี่ยนชุด CA ให้หาว่าแฮนด์เชก TLS ครั้งใดล้มเหลว ใบรับรองของพร็อกซีกับของเว็บไซต์อาจถูกตรวจบนการเชื่อมต่อคนละชุด

ใช้ข้อมูลติดตามแบบละเอียดเพื่อดูชื่อโฮสต์ที่ร้องขอและแฮนด์เชกครั้งสุดท้ายที่เสร็จสมบูรณ์ ข้อผิดพลาดใบรับรองของพร็อกซี HTTPS อาจเกิดก่อนติดต่อเว็บไซต์ ตรวจชื่อที่ตั้งใจใช้กับการเชื่อมต่อนั้น อายุใบรับรอง นาฬิกาในเครื่อง สายโซ่ใบรับรองที่คาดไว้ และคลังความเชื่อถือที่อนุมัติแล้ว รวมถึงการดักรับ TLS ที่ตั้งใจตั้งค่าไว้หรือใบรับรองรากที่เพิ่มเข้ามาด้วย

curl มีตัวเลือก CA แยกกันสำหรับการเชื่อมต่อทั้งสองชุด:

curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/

--proxy-cacert ระบุฐานความเชื่อถือสำหรับพร็อกซี ส่วน --cacert ระบุสำหรับปลายทาง แทนที่จุดเชื่อมต่อและไฟล์ตัวอย่างด้วยค่าตามการจัดวางความเชื่อถือที่คุณต้องการ หากความเชื่อถือของระบบเพียงพออยู่แล้ว ก็ไม่จำเป็นต้องมีชุดใบรับรองเฉพาะ

การแทนชื่อโฮสต์ด้วย IP ใด ๆ จะเปลี่ยนการจับคู่ใบรับรอง การข้ามการยืนยันอาจซ่อนข้อผิดพลาดโดยไม่ได้ยืนยันตัวตนของอีกฝ่าย สำหรับพร็อกซีที่ไม่คุ้นเคย การขอให้ติดตั้ง CA รากของตนไม่ใช่เหตุผลเพียงพอที่จะเชื่อถือ

การเชื่อมต่อพอร์ตถูกปฏิเสธหรือ CONNECT ถูกปฏิเสธเป็นปัญหาในขั้นก่อนหน้า การเปลี่ยนใบรับรองแก้ไม่ได้ ในทางกลับกัน หลังยืนยัน TLS ของปลายทางแล้ว ข้อผิดพลาด HTTP จากเว็บไซต์เป็นเรื่องของคำตอบที่ได้รับ ไม่ใช่การปรับ CA อีกรอบ