Truy vết lỗi proxy trong kiểm tra chứng chỉ CRL và OCSP

Một yêu cầu tới website có thể đến được proxy của nó mà vẫn thất bại vì việc xác minh chứng chỉ cần thêm một yêu cầu mạng. Việc tải CRL hoặc OCSP có thể chạy qua một thành phần nền tảng có tài khoản và chính sách proxy khác với ứng dụng khách HTTP của ứng dụng.

Hãy bắt đầu từ lỗi chuỗi chính xác. Revoked có nghĩa khác với không thể lấy được thông tin thu hồi hiện tại. Hết hạn và nhà phát hành không đáng tin cậy lại là những vấn đề khác. Chỉ lỗi tải mới cần truy vết đường đi bị thiếu tới URL trạng thái.

Với lỗi đó, hãy xác định ba thứ cùng lúc: URL đang được tải, thành phần thực hiện việc tải và danh tính tiến trình của nó. Việc trình duyệt mở URL thành công dưới tài khoản tương tác của bạn không chứng minh rằng một dịch vụ có thể xác thực với cùng proxy đó.

Nếu thành phần được xác định dùng WinHTTP, hãy xem chính sách áp dụng cho nó. Cấu hình proxy tĩnh và đánh giá proxy tự động theo từng URL là những cơ chế riêng biệt. Áp dụng cấu hình được hỗ trợ cho tài khoản dự định; sao chép cài đặt trình duyệt hoặc thay đổi một môi trường chạy không liên quan có thể để việc tải thực tế không bị tác động.

Trong .NET, UrlRetrievalTimeout trên chính sách chuỗi điều khiển việc chờ xác minh trực tuyến hoặc tải CRL. Kéo dài thời gian chờ phản hồi HTTP thông thường không kéo dài cùng bộ đếm đó, và kéo dài bộ đếm tải không cung cấp thông tin đăng nhập proxy hay đường đi.

Một proxy HTTPS có thể khiến sự phụ thuộc này hiện rõ ngay cả trước TLS tới đích: lòng tin vào kết nối proxy có thể tự nó cần việc tải thông tin thu hồi. Hãy khôi phục quyền truy cập tải được hỗ trợ và cách bố trí tin cậy ở giai đoạn đó. Tắt kiểm tra thu hồi sẽ thay đổi chính sách chứng chỉ; nó không khôi phục việc tải đã thất bại.