При фильтрации HTTPS через прокси-сервер Squid с функцией SSL-Bump браузер Google Chrome начинает показывать ошибку NET::ERR_CERT_AUTHORITY_INVALID, хотя корневой сертификат прокси установлен на компьютерах.
Причина
Начиная с версии 58 Chrome не принимает сертификаты без поля Subject Alternative Name (SAN): имя сайта он берёт только оттуда и больше не смотрит в поле Common Name. Самостоятельно сгенерированный сертификат для SSL-Bump часто такого поля не содержит.
Правильное решение
Перевыпустить сертификат с полем Subject Alternative Name. Пример для OpenSSL 1.1.1 и новее:
openssl req -x509 -newkey rsa:2048 -nodes -keyout key.pem -out cert.pem -days 365 -subj "/CN=proxy.local" -addext "subjectAltName=DNS:proxy.local"Корневой сертификат прокси распространите на компьютеры в доверенные корневые центры сертификации, например групповой политикой.
Временное решение для старых версий Chrome
Раньше можно было вернуть старое поведение политикой в реестре. Насколько мне известно, Google удалила эту политику в последующих версиях браузера, поэтому сейчас она уже не работает и подходит только для устаревших установок:
HKLM\SOFTWARE\Policies\Google\Chrome
REG_DWORD
EnableCommonNameFallbackForLocalAnchors
1