Proxy kullanırken sertifika hataları
Sertifika ayarlarını değiştirmeden önce doğrulamanın proxy’nin kendi TLS bağlantısında mı, hedef sitede mi başarısız olduğunu belirleyin.
CA paketini değiştirmeden önce hangi TLS el sıkışmasının başarısız olduğunu bulun. Proxy sertifikası ile site sertifikası farklı bağlantılarda kontrol edilebilir.
| Proxy ve hedef | TLS kontrolleri |
|---|---|
| HTTPS hedefe giden HTTP proxy | CONNECT sonrasında hedef sertifikasını tünel üzerinden doğrulayın. |
| HTTPS hedefe giden HTTPS proxy | Önce proxy’ye TLS bağlantısını doğrulayın; tünel açıldıktan sonra hedefe giden ayrı TLS oturumunu doğrulayın. |
İstenen ana makine adını ve tamamlanan son el sıkışmasını ayrıntılı iz kaydından belirleyin. HTTPS proxy sertifika hatası, siteye ulaşılmadan önce oluşabilir. O bağlantıda amaçlanan adı, sertifikanın geçerlilik süresini, yerel saati, beklenen zinciri ve onaylı güven deposunu kontrol edin. Bilerek yapılandırılmış TLS araya girme düzenini veya eklenmiş kök sertifikayı da araştırmaya katın.
curl iki bağlantı için ayrı CA seçenekleri sunar:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert proxy için, --cacert ise hedef için güven kaynağını sağlar. Örnek uç noktayı ve dosyaları kullanmayı amaçladığınız güven düzenindeki değerlerle değiştirin. Sistem güveni zaten yeterliyse özel paketler gereksizdir.
Ana makine adını rastgele bir IP ile değiştirmek sertifika eşleştirmesini değiştirir. Doğrulamayı atlamak, karşı ucun kimliğini belirlemeden hatayı gizleyebilir. Tanımadığınız bir proxy’nin kök CA’sını kurmanızı istemesi ona güvenmek için yeterli neden değildir.
Reddedilen port bağlantısı veya CONNECT daha önceki bir aşamaya aittir; sertifikaları değiştirmek bunu çözmez. Tersine, hedef TLS doğrulandıktan sonra sitenin HTTP hatası alınan yanıtla ilgilidir, başka bir CA ayarıyla değil.