Lỗi chứng chỉ khi dùng proxy
Trước khi đổi thiết lập chứng chỉ, xác định việc xác minh thất bại ở kết nối TLS tới chính proxy hay tới website đích.
Trước khi thay gói CA, hãy tìm xem bước bắt tay TLS nào thất bại. Chứng chỉ proxy và chứng chỉ website có thể được kiểm tra trên các kết nối khác nhau.
| Proxy và đích | Kiểm tra TLS |
|---|---|
| Proxy HTTP tới đích HTTPS | Sau CONNECT, xác minh chứng chỉ đích qua đường hầm. |
| Proxy HTTPS tới đích HTTPS | Trước tiên xác minh TLS tới proxy; sau khi đường hầm mở, xác minh phiên TLS riêng tới đích. |
Dùng dấu vết chi tiết để xác định tên máy chủ được yêu cầu và lần bắt tay cuối đã hoàn tất. Lỗi chứng chỉ proxy HTTPS có thể xảy ra trước khi website được liên hệ. Kiểm tra tên dự kiến của kết nối đó, thời hạn chứng chỉ, đồng hồ cục bộ, chuỗi chứng chỉ dự kiến và kho tin cậy được chấp thuận. Đưa cả việc chặn bắt TLS được cố ý cấu hình hoặc chứng chỉ gốc đã thêm vào phạm vi xem xét.
curl cung cấp các tùy chọn CA riêng cho hai kết nối:
curl --proxy https://proxy.example:8443 --proxy-cacert proxy-ca.pem --cacert site-ca.pem https://example.com/--proxy-cacert cung cấp cơ sở tin cậy cho proxy; --cacert cho đích. Thay điểm kết nối và các tệp trong ví dụ bằng giá trị thuộc cấu hình tin cậy bạn muốn dùng. Không cần gói tùy chỉnh nếu độ tin cậy của hệ thống đã đủ.
Thay tên máy chủ bằng một IP tùy ý sẽ thay đổi việc đối chiếu chứng chỉ. Bỏ qua xác minh có thể che lỗi mà không xác lập danh tính đầu bên kia. Với proxy không quen biết, yêu cầu cài CA gốc của nó không phải lý do đủ để tin cậy.
Cổng từ chối kết nối hoặc CONNECT bị từ chối thuộc giai đoạn trước đó; đổi chứng chỉ không khắc phục được. Ngược lại, sau khi TLS của đích đã được xác minh, lỗi HTTP của website thuộc phản hồi nhận được, không phải một lần chỉnh CA nữa.