WRONG_VERSION_NUMBER gamit ang proxy: suriin ang HTTP kumpara sa HTTPS

Sinasabi ng error na “maling bersyon”, kaya nakakatuksong magsimulang magpalit ng mga bersyon ng TLS. Sa isang proxy, suriin muna ang naunang posibilidad: nagpadala ba ang kliyente ng handshake ng TLS sa isang port na naghihintay ng simpleng HTTP?

Ang destinasyong gaya ng https://example.com/ at proxy na gaya ng http://proxy.example:8080 ay karaniwang pares. Ang pagpapalit ng pangalawang URL sa HTTPS ay nagsasabi sa kliyente na i-encrypt ang usapan nito sa proxy mismo. Hindi ito utos na payagan ang mga site na HTTPS.

Hanapin ang unang usapan ng TLS

Sa proxy na HTTP, maaaring magpadala muna ang kliyente ng CONNECT at tumanggap ng tugon na HTTP. Pagkatapos lamang niya simulan ang TLS ng destinasyon sa loob ng tunel. Sa proxy na HTTPS, hiwalay na koneksyon ng TLS sa proxy ang nauna.

Ang TLS parser na tumatanggap ng pahina ng error sa HTTP o iba pang simpleng teksto ay maaaring mag-ulat ng error sa protocol. Hindi itinatakda ng pananalita kung aling mga bersyon ng TLS ang sinusuportahan ng site, o kung nakipag-ugnayan man sa site.

1. Itala ang URL ng proxy, kasama ang scheme nito, at ang dokumentadong protocol ng endpoint.
2. Alamin kung nangyari ang pagpalya bago ang tugon ng CONNECT, habang nasa TLS ng destinasyon, o habang bineberipika ang sertipiko ng proxy mismo.
3. Suriin ang aktwal na bersyon ng kliyente at ng mga dependency kapag ikinukumpara ang lumang solusyon. Kung minsan ay iba ang pagtrato ng mga naunang implementasyon ng proxy sa scheme.

Maaaring mali ang ilang pagwawasto dahil sa iba't ibang dahilan. Ang listahan ng proxy na HTTP ay nag-aalok ng karaniwang mga kandidatong endpoint ng HTTP para sa mga pampublikong kahilingang pinapayagan sa ganoong ruta. Ang simpleng endpoint ng HTTP ay nangangailangan ng scheme ng proxy na HTTP; ang endpoint na tunay na may TLS ay dapat panatilihin ang HTTPS at ang beripikasyon ng sertipiko nito. Ang proxy na tumatanggi sa CONNECT ay nangangailangan ng suportadong serbisyo o patakaran, hindi ng basta pagbaba ng bersyon ng library.

Panatilihin ang unang palyadong nakikita. Hindi kayang gawing nag-TLS ang isang tagapakinig na HTTP lamang sa pamamagitan ng pag-off ng beripikasyon ng sertipiko, at hindi kayang ipaliwanag ng pagpili ng lumang patakaran ng cipher ang pagtanggi sa HTTP na ipinadala bago ang handshake ng site.