WRONG_VERSION_NUMBER với proxy: kiểm tra HTTP và HTTPS
Chẩn đoán sự không khớp về vận chuyển của proxy trước khi hạ cấp phiên bản TLS hoặc thay đổi cài đặt chứng chỉ vì một lỗi SSL gây hiểu nhầm.
Lỗi nói “sai phiên bản”, nên rất dễ muốn bắt đầu đổi phiên bản TLS. Với proxy, hãy kiểm tra một khả năng sớm hơn: máy khách có gửi bắt tay TLS tới một cổng đang chờ HTTP thường không?
Một đích như https://example.com/ và một proxy như http://proxy.example:8080 là cặp bình thường. Đổi URL thứ hai sang HTTPS bảo máy khách mã hóa cuộc trò chuyện với chính proxy. Đó không phải chỉ dẫn cho phép các trang HTTPS.
Xác định cuộc trò chuyện TLS đầu tiên
Với proxy HTTP, máy khách có thể gửi CONNECT trước và nhận phản hồi HTTP. Chỉ sau đó nó mới bắt đầu TLS của đích bên trong đường hầm. Với proxy HTTPS, một kết nối TLS riêng tới proxy đến trước.
Bộ phân tích TLS nhận được trang lỗi HTTP hoặc văn bản thường khác có thể báo lỗi giao thức. Cách diễn đạt đó không xác lập trang hỗ trợ phiên bản TLS nào, thậm chí không xác lập rằng đã liên hệ với trang.
- Ghi lại URL của proxy, kể cả lược đồ, và giao thức được ghi chép của điểm cuối.
- Tìm xem lỗi xảy ra trước phản hồi CONNECT, trong TLS của đích, hay khi xác minh chứng chỉ của chính proxy.
- Kiểm tra phiên bản thực tế của máy khách và các phụ thuộc khi so sánh một cách xử lý cũ. Các triển khai proxy trước đây đôi khi xử lý lược đồ khác đi.
Nhiều cách sửa có thể sai vì những lý do khác nhau. Danh sách proxy HTTP cung cấp các ứng viên điểm cuối HTTP thường cho những yêu cầu công khai được phép qua tuyến đó. Điểm cuối HTTP thường cần lược đồ proxy HTTP; điểm cuối thực sự bật TLS nên giữ HTTPS và việc xác minh chứng chỉ. Proxy từ chối CONNECT cần một dịch vụ hoặc chính sách được hỗ trợ, không phải hạ cấp thư viện tùy tiện.
Giữ lại lỗi quan sát được đầu tiên. Tắt xác minh chứng chỉ không thể khiến một bộ lắng nghe chỉ nói HTTP nói TLS, và chọn một chính sách mã hóa cũ không thể giải thích việc từ chối HTTP được gửi trước khi bắt tay với trang.