معالجة خطأ شهادة فك تشفير SSL في الوصول الآمن

مسألة

يواجه المستخدمون صفحات أخطاء متعلقة بالشهادة عند تمكين فك تشفير SSL في Cisco Secure Access. تم تلقي استعلامات متعددة حول ثلاثة أنواع محددة من أخطاء الشهادات:

• الأخطاء التي انتهت صلاحية شهادة الخادم الأصلي

• أخطاء عدم تطابق الشهادة CN/SAN حيث لا يتطابق الاسم الشائع أو أسماء المواضيع البديلة المدرجة في الشهادة مع المجال الذي تم الوصول إليه

• إرتباط قائمة إلغاء الشهادة (CRL) مدمج في شهادة الخادم الأصلي مما يسبب مشاكل في الاتصال

تكون أخطاء الشهادة هذه مماثلة للتحذيرات التي يتم عرضها عادة في مستعرضات الويب. ينشأ السؤال عما إذا كان يمكن ل Cisco Secure Access معالجة الأخطاء المتعلقة بالشهادة عن طريق عرض صفحات التحذير (مثل المستعرضات أو عوامل تصفية المحتوى) ثم السماح بالوصول بعد عرض التحذير، أو السماح بالوصول في جميع الحالات. وبالإضافة إلى ذلك، هناك حاجة إلى فهم السلوك عند تعطيل فك تشفير SSL وما إذا كانت حركة مرور البيانات تمر بغض النظر عن مشاكل الشهادة.

البيئة

• الوصول الآمن من Cisco - الوصول إلى الإنترنت (الوحدة النمطية المتجولة، VA، DNS، SWG، PAC، IPS، الشهادات)

• تم تمكين وظيفة فك تشفير SSL

• مجالات متعددة تشهد مشاكل في التحقق من صحة الشهادة

• الخوادم الأصلية التي بها مشاكل شهادات مختلفة بما في ذلك انتهاء الصلاحية وعدم تطابق المجال

قرار

خطأ الشهادة في معالجة القيود

معالجة الخطأ المتعلق بالشهادة غير متوفرة في Cisco Secure Access. لا يدعم المنتج:

• تقديم صفحات تحذير مثل المتصفح لمشاكل الشهادة

• حدث خطأ في معالجة التكوين في شهادة خاصة بالمجال

• معالجة الخطأ المخصص استنادا إلى مجالات الوجهة

• صفحات تحذير نمط مرشح المحتوى مع خيارات تجاوز المستخدم

حل بديل لاستثناء فك تشفير SSL

تتمثل الطريقة الموصى بها في إستبعاد المجالات التي تنطوي على مشاكل من فك تشفير SSL باستخدام إعدادات فك تشفير ملف تعريف الأمان. يمكن تكوين هذا من خلال:

انتقل إلى قسم ملف تعريف الأمان > إعدادات فك التشفير لاستبعاد مجالات معينة من فحص SSL.

عند إستبعاد المجالات من فك تشفير SSL، يحدث هذا السلوك:

• تتجاوز حركة المرور للمجالات المستبعدة فحص SSL بالكامل

• لا يتم إجراء التحقق من الشهادة بواسطة Secure Access

• لا يواجه المستخدمون صفحات أخطاء الشهادات التي تم إنشاؤها بواسطة Secure Access

• من المحتمل أن تكون أخطاء الشهادة الأصلية ما زالت مرئية في مستعرض المستخدم إذا إستمرت مشاكل الشهادة

سلوك تعطيل فك تشفير SSL

عندما يتم تعطيل فك تشفير SSL لمجال أو بشكل عام، يقوم Cisco Secure Access بتمرير حركة مرور البيانات عبر (إعادة توجيه) بغض النظر عن أي مشاكل في الشهادة. لا يقوم المنتج بفحص الشهادات أو التحقق منها عند عدم تمكين فك التشفير، مما يسمح لجميع حركة مرور HTTPS بالمرور بشكل شفاف.

السبب

تحدث أخطاء الشهادة بسبب مشاكل في التحقق من صحة الشهادة الشرعية على الخوادم الأصلية، بما في ذلك الشهادات منتهية الصلاحية وحالات عدم تطابق CN/SAN ومشاكل اتصال CRL. يقوم Cisco Secure Access بإجراء التحقق من الشهادة كجزء من عملية فك تشفير SSL الخاصة به، وعندما تحدث حالات فشل التحقق من الصحة هذه، يقوم المنتج بإنشاء صفحات أخطاء لمنع الاتصالات التي قد تكون غير آمنة. هذا هو سلوك الأمان المقصود لميزة فحص SSL.

المحتوى ذي الصلة

• وثائق تكوين فك تشفير الوصول الآمن من Cisco

• الدعم الفني والتنزيلات من Cisco