Phía nào của proxy kiểm tra đã từ chối chứng chỉ?

Máy khách tin cậy proxy kiểm tra đã được phê duyệt. Yêu cầu vẫn thất bại vì lỗi chứng chỉ. Cả hai sự thật đều có thể đúng: proxy đó còn một quan hệ TLS khác để xác minh.

client -- TLS to approved intermediary -- proxy -- TLS to website -- destination

Trong cách bố trí chặn, bên trung gian kết thúc TLS của máy khách và tạo kết nối riêng của mình về phía trước. Máy khách có thể chấp nhận chứng chỉ được trình bày ở phía mình trong khi proxy từ chối chứng chỉ nhận được từ trang web.

Đọc lỗi của bộ xác minh

Xác định tiến trình nào đã báo cáo chuỗi hoặc tên máy chủ bị lỗi. Trang lỗi do proxy tạo có thể đến được máy khách thành công qua một kết nối hợp lệ. Việc thay tệp CA của máy khách lần nữa không cập nhật cấu hình tin cậy thượng nguồn của proxy.

Ví dụ, Mitmproxy ghi lại các tùy chọn tin cậy thượng nguồn riêng biệt, bao gồm ssl_verify_upstream_trusted_ca. Quản trị viên phù hợp có thể cấu hình tin cậy đã được phê duyệt cho dịch vụ thượng nguồn trong khi vẫn giữ xác minh. Một sản phẩm proxy khác cần giao diện tương ứng của nó.

Cũng hãy kiểm tra tên đích thực tế và chuỗi. Dịch vụ riêng thiếu chứng chỉ trung gian, chứng chỉ hết hạn và nhà phát hành riêng không được nhận diện cần những cách sửa khác nhau. Ngoại lệ dành cho một dịch vụ riêng không nên âm thầm trở thành việc chấp nhận toàn cục mọi chứng chỉ.

Đường hầm CONNECT thông thường thì khác

Đường hầm chuyển tiếp không trong suốt không tách TLS của đích theo cách này. Ứng dụng thường tự thương lượng và xác minh phiên TLS đầu-cuối đó. Trước tiên hãy xác định liệu việc chặn có thực sự là một phần của tuyến đường, thay vì áp dụng cài đặt proxy kiểm tra cho bất kỳ trung gian nào.

Ghi lại hai kết quả xác minh riêng biệt. “Chứng chỉ của proxy đáng tin cậy” trả lời câu hỏi phía máy khách; nó không chứng nhận những gì proxy đã thấy khi kết nối lên thượng nguồn.