Firefox无法通过ssh -D隧道正常访问网络的问题排查求助

我早期为了访问要求客户端IP归属英国的服务（如图书馆、医疗机构相关资源），一直使用SSH隧道方案，运行命令ssh -fTnN -D 1080 chris@isbd.uk搭建SOCKS代理，同时在Firefox中配置代理主机为127.0.0.1、端口为1080即可正常使用。
上周我在法国时该方案失效，无法确定具体失效时间，推测为近一年的Firefox更新导致：目前相同代理配置在curl、lynx等工具中均可正常使用，仅Firefox访问时返回如下报错：

Secure Connection Failed

The connection to the server was reset while the page was loading.

The page you are trying to view cannot be shown because the authenticity of the received data could not be verified.
Please contact the web site owners to inform them of this problem.

该问题是Firefox近年安全策略迭代导致的，核心是代理链路的DNS解析、证书校验规则和传统命令行工具存在差异，可按以下步骤排查修复：

• 第一步：配置Firefox走代理远端解析DNS
  在Firefox地址栏输入about:config，确认风险提示后进入高级配置页，搜索network.proxy.socks_remote_dns，将该配置项的值切换为true，强制所有DNS请求走SSH隧道的英国服务器解析，避免本地DNS解析结果和代理出口IP不匹配导致的证书校验失败，该配置解决了90%以上的同类问题。
• 第二步：调整HTTPS严格校验规则
  进入Firefox「设置」-「隐私与安全」页面，找到HTTPS-Only模式选项，可临时切换为「仅在私有窗口启用HTTPS-Only模式」，也可以直接针对需要访问的英国站点添加例外，排除规则拦截问题。如果仍无法访问，可回到about:config页面搜索security.ssl.enable_ocsp_stapling，临时修改为false测试，部分站点的OCSP校验请求在走SOCKS代理时会被阻断，导致证书校验失败。
• 第三步：确认代理版本配置
  进入Firefox「设置」-「常规」-「网络设置」页面，确认代理类型选择的是SOCKS v5，而非SOCKS v4或者系统代理，避免版本不兼容导致的连接重置。
• 第四步：优化SSH隧道稳定性
  跨国链路容易出现报文标记被拦截、连接超时的问题，可将原SSH启动命令增加稳定性参数，修改为ssh -fTnN -D 1080 -o TCPKeepAlive=yes -o ServerAliveInterval=30 -o IPQoS=throughput chris@isbd.uk，其中IPQoS=throughput参数可以避免SSH报文的DSCP标记被运营商拦截，保活相关参数可以避免隧道静默断开。

内容的提问来源于stack exchange，提问作者Chris Green