OpenSSL s_client: proxy 403 hatası hedef TLS'inden önce gelir
OpenSSL proxy üzerinden CONNECT isteğine dönen 403'ü tünel aşamasının başarısızlığı olarak okuyun ve hiç başlamamış bir el sıkışmadan hedef sertifikasını teşhis etmeyin.
Eğer openssl s_client proxy CONNECT isteğine yanıt olarak HTTP 403 alırsa, bu reddetmeyle başlayın. İstenen tünel kurulmadı.
-proxy seçeneğiyle s_client önce HTTP proxy'den -connect ile belirtilen hedefe bağlanmasını ister. Yalnızca başarılı bir CONNECT yanıtı bu alışverişi hedefin TLS el sıkışması için bir tünele dönüştürür.
Bu sıra, aksi hâlde kafa karıştıran bir çıktıyı açıklar: proxy hatasının ardından TLS ile ilgili başlıklar, hiç eş sertifikası olmaması ya da güven verici görünen bir doğrulama satırı. Bu alanlar hedefin sertifikasının alındığını ve doğrulandığını kanıtlamaz. İşlem daha erken bir aşamada durmuştur.
Proxy yanıtını ve istenen hedef ana bilgisayar ile bağlantı noktasını kaydedin. 403 dikkatleri proxy'nin erişim kararına yöneltir; 407 ise proxy kimlik doğrulaması ister. İkisi de hedef sertifikasının doğrulaması kapatılarak düzeltilmez.
Alışverişi incelemeye izin verildiğinde, s_client'ın -debug çıktısı reddetmeyi ortaya çıkarmaya yardımcı olabilir. Proxy kimlik bilgilerini paylaşılan izlerin dışında tutun. Başarılı bir tünel yine de sonrasında kendi TLS ve sertifika değerlendirmesine ihtiyaç duyar, ancak o aşamaya gerçekten ulaşılmadıkça teşhis edilecek bir hedef sertifika zinciri yoktur.