OpenSSL s_client: ข้อผิดพลาด 403 จากพร็อกซีเกิดก่อน TLS ของปลายทาง

หาก openssl s_client ได้รับ HTTP 403 เป็นคำตอบต่อคำขอ CONNECT ผ่านพร็อกซี ให้เริ่มจากคำปฏิเสธนั้น อุโมงค์ที่ร้องขอไม่ได้ถูกสร้างขึ้น

เมื่อใช้ -proxy s_client จะขอให้พร็อกซี HTTP เชื่อมต่อไปยังปลายทางที่ระบุด้วย -connect ก่อน มีเพียงคำตอบ CONNECT ที่สำเร็จเท่านั้นที่เปลี่ยนการแลกเปลี่ยนนี้เป็นอุโมงค์สำหรับแฮนด์เชก TLS ของปลายทาง

ลำดับนี้อธิบายผลลัพธ์ที่หากไม่เข้าใจจะน่าสับสน: ข้อผิดพลาดของพร็อกซีตามด้วยหัวข้อที่เกี่ยวข้องกับ TLS ไม่มีใบรับรองของคู่ หรือบรรทัดตรวจสอบที่ดูเหมือนให้ความมั่นใจ ฟิลด์เหล่านั้นไม่ได้ยืนยันว่าได้รับและตรวจสอบใบรับรองปลายทางแล้ว การดำเนินการหยุดที่ขั้นก่อนหน้า

บันทึกคำตอบของพร็อกซี ตลอดจนโฮสต์และพอร์ตปลายทางที่ร้องขอ 403 ทำให้ความสนใจไปที่การตัดสินใจเข้าถึงของพร็อกซี 407 ขอการพิสูจน์ตัวตนกับพร็อกซี ทั้งสองไม่ได้รับการแก้ไขด้วยการปิดการตรวจสอบใบรับรองปลายทาง

เมื่อได้รับอนุญาตให้ตรวจสอบการแลกเปลี่ยน เอาต์พุต -debug ของ s_client อาจช่วยเปิดเผยคำปฏิเสธได้ เก็บข้อมูลรับรองพร็อกซีใด ๆ ไว้นอกเส้นทางที่แชร์ อุโมงค์ที่สำเร็จยังต้องมีการประเมิน TLS และใบรับรองของตนเองในภายหลัง แต่ไม่มีห่วงโซ่ใบรับรองปลายทางให้วินิจฉัยจนกว่าจะถึงขั้นนั้นจริง ๆ