■ 現象
https://blogs.yahoo.co.jp/dk521123/36966230.htmlで、キーストアインポートした後に、以下の例外が発生した
例外
No subject alternative names present = サブジェクトの別名がないcom.sun.xml.internal.ws.com.client.ClientTransportException: HTTP transport error: javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: No subject alternative names present
構成
+-----------+ +-----------+ +------------+ | | http | | https | | |Java appli |--------| SSL Proxy |-------| SSL Server | | | 3128 | | 443 | | +-----------+ +-----------+ +------------+
その他
* /var/log/squid/cache.log を確認したところ、SSL関連のエラーログあり。 * subject alternative names(SANs)については、以下の関連記事を参照のことhttps://blogs.yahoo.co.jp/dk521123/33100623.html
■ 解決案
Proxyサーバ「squid」の設定変更
その１: SSLエラーをsquid側で無視する（握りつぶす）http://wiki.squid-cache.org/ConfigExamples/Intercept/SslBumpExplicit#Troubleshooting
より sudo vi /etc/squid/squid.conf ～～～～ sslproxy_cert_error allow all sslproxy_flags DONT_VERIFY_PEER ～～～～ * あくまで開発時でのデバッグ用の方法。その２: SANsに記載されているホスト名/IPアドレスを指定する
http://lists.squid-cache.org/pipermail/squid-users/2016-February/009308.html
を参考に。 sudo vi /etc/squid/squid.conf ～～～～ acl tcp_level at_step SslBump1 acl client_hello_peeked at_step SslBump2 ssl_bump peek tcp_level all acl to_target_host_ssl ssl::server_name 【SANsに記載されているホスト名/IPアドレス】 ssl_bump splice client_hello_peeked to_target_host_ssl # SANsに記載されているホスト名/IPアドレスと正規証明書以外のサイトをエラーにしたい場合はコメントアウト #ssl_bump terminate all ssl_bump bump all ～～～～
