Mga error sa certificate kapag gumagamit ng proxy
Bago baguhin ang mga setting ng certificate, tukuyin kung sa sariling TLS connection ng proxy o sa destinasyong website pumalya ang verification.
Alamin muna kung aling TLS handshake ang pumalya bago magpalit ng CA bundle. Maaaring sinusuri ang certificate ng proxy at ng website sa magkaibang koneksyon.
| Proxy at destinasyon | Mga pagsusuri sa TLS |
|---|---|
| HTTP proxy papunta sa HTTPS na destinasyon | Pagkatapos ng CONNECT, i-verify ang certificate ng destinasyon sa pamamagitan ng tunnel. |
| HTTPS proxy papunta sa HTTPS na destinasyon | Unahing i-verify ang TLS sa proxy; pagkabukas ng tunnel, i-verify ang hiwalay na TLS session sa destinasyon. |
Gamitin ang detalyadong trace para matukoy ang hiniling na hostname at ang huling nakumpletong handshake. Maaaring pumalya ang certificate ng HTTPS proxy bago pa makontak ang website. Suriin ang nilalayong pangalan para sa koneksyong iyon, bisa ng certificate, lokal na orasan, inaasahang chain, at aprubadong trust store. Isama sa pagsusuri ang anumang sadyang itinakdang TLS interception o idinagdag na root certificate.
May magkahiwalay na CA option ang curl para sa dalawang koneksyon:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/Ang --proxy-cacert ang nagbibigay ng batayan ng tiwala para sa proxy; ang --cacert naman para sa destinasyon. Palitan ang endpoint at mga file sa halimbawa ayon sa nilalayon mong trust setup. Hindi kailangan ng custom bundle kung sapat na ang tiwala ng system.
Kapag pinalitan ang hostname ng basta anumang IP, nagbabago ang pagtutugma ng certificate. Maaaring maitago ng paglaktaw sa verification ang problema nang hindi napapatunayan ang pagkakakilanlan ng kabilang dulo. Para sa hindi pamilyar na proxy, hindi sapat na dahilan para pagkatiwalaan ito ang hiling nitong i-install ang sarili nitong root CA.
Ang pagtanggi sa koneksyon sa port o sa CONNECT ay nasa mas naunang yugto; hindi ito maaayos ng pagpapalit ng certificate. Sa kabilang banda, kapag na-verify na ang TLS ng destinasyon, ang HTTP error ng website ay tungkol sa natanggap na tugon, hindi sa isa pang pag-aayos ng CA.